El lenguaje que se considera la columna vertebral de internet está ahora expuesto a lo que los expertos describen como una de las vulnerabilidades más notables de los últimos tiempos.
PHP es un lenguaje de programación de propósito general ampliamente utilizado, orientado al desarrollo web, y por lo tanto, impulsa la gran mayoría de los sitios web en todo el mundo. Cuando la organización responsable del lenguaje y la división cibernética del FBI advirtieron el miércoles sobre importantes vulnerabilidades en el mismo , las agencias gubernamentales, las corporaciones y otras organizaciones se vieron envueltas en una ola de reacciones.
El episodio también pone de relieve cómo la inteligencia artificial está cambiando las reglas del juego en lo que respecta a la seguridad web.
Esto es lo que se puede deducir del descubrimiento de las vulnerabilidades y sus consecuencias.
Estas vulnerabilidades expusieron los sitios a una serie de posibles problemas de seguridad.
El sitio web oficial de PHP y varias otras organizaciones y agencias publicaron avisos de seguridad el miércoles instando a los usuarios de PHP a corregir dos vulnerabilidades críticas o cerrar sus sitios si no podían actualizarlos de inmediato.
La Fundación PHP, que trabaja para proporcionar transparencia y rendición de cuentas en relación con el lenguaje, afirmó que las vulnerabilidades podrían ser explotadas y permitir que actores malintencionados obtengan acceso no autenticado a sitios que utilizan PHP.
Esto significaría que los atacantes podrían controlar un servidor web de forma remota sin necesidad de contraseña, afirmó James Sullivan, director de ciberseguridad y tecnología del Royal United Services Institute de Londres. Esto podría permitir a un pirata informático robar o modificar datos, o utilizar el sistema como plataforma para lanzar otros ataques, añadió.
La exposición es enorme y algunos sitios aún no están disponibles.
PHP impulsa aproximadamente el 70% de los sitios web a nivel mundial, por lo que la posible exposición a vulnerabilidades era inmensa.
El lenguaje es libre y de código abierto, lo que contribuye a su popularidad en internet. PHP es la base de los sistemas de gestión de contenidos WordPress y Drupal, comúnmente utilizados por gobiernos para sus sitios web, y de MediaWiki, el software que ejecuta Wikipedia.
De acuerdo con los avisos de seguridad emitidos esta semana, varios sitios web fueron desconectados temporalmente para evitar filtraciones mientras se solucionaba el problema. Se han producido interrupciones en algunos servicios y sitios web gubernamentales, incluidos los del Reino Unido, Finlandia y Japón.
Es posible que algunos sitios web sigan sin funcionar debido a que existen múltiples parches disponibles para distintos tipos de software, y algunas organizaciones aún podrían estar esperando recibirlos. Además, es necesario probarlos para asegurar su correcto funcionamiento.
Es posible que estos problemas hayan permanecido latentes.
Según la Fundación PHP, estas vulnerabilidades se conocen desde al menos 2024. Un equipo de seguridad desarrolló varias soluciones alternativas, pero todas presentaban inconvenientes, y al parecer no existía una forma práctica o concreta de que los atacantes pudieran explotarlas, por lo que el desarrollo de una solución se estancó, según la fundación.
El grupo asumió la responsabilidad por no haber encontrado una solución antes, declarando: «No vamos a fingir lo contrario: la demora fue un fallo estructural, causado tanto por el proceso de toma de decisiones del equipo de seguridad como por su falta de recursos».
Algunos expertos afirman que el descubrimiento de la vulnerabilidad podría haberse producido incluso antes de 2024.
Notas relacionadas
El juego del gato y el ratón entre atacantes y defensores, impulsado por la IA, continúa.
Los agentes de inteligencia artificial ayudaron a descubrir las vulnerabilidades. En una publicación de blog, OpenAI afirmó haber liderado una coalición de investigadores, proveedores de seguridad y otros para abordar las vulnerabilidades en PHP durante los últimos dos meses. Investigadores de Wiz, una plataforma de seguridad en la nube, también indicaron que utilizaron IA de forma independiente para identificar las vulnerabilidades.
La accesibilidad de la IA implica que muchas organizaciones, grandes y pequeñas, ahora cuentan con métodos más avanzados para responder de forma proactiva y reactiva a las amenazas de seguridad. Sin embargo, también significa que los ciberdelincuentes disponen de métodos más sofisticados para explotar las vulnerabilidades digitales a gran escala.
James Sullivan, del Royal United Services Institute de Londres, dijo que esta dinámica de tira y afloja puede ser preocupante, pero él está centrado en el lado positivo.
“Hemos visto un caso de uso bastante bueno en el que la IA puede descubrir algunas vulnerabilidades críticas y luego la comunidad puede unirse para solucionarlas”, dijo.
