¿Qué es PHP y por qué causó tanto caos en millones de sitios web?

Millones de sitios web se vieron afectados por una crisis de ciberseguridad que permaneció latente sin ser detectada durante más de una década.

Actualmente, los gobiernos y las empresas de todo el mundo se apresuran a actualizar sus sistemas para prevenir ataques catastróficos de hackers, y muchos optan por desactivar sus sitios web por completo mientras intentan solucionar el problema.

Todo se originó a partir de un lenguaje de programación llamado PHP, que se lanzó por primera vez en 1995 y se utilizó para crear sitios web desde principios de la década de 2000. Los agentes de inteligencia artificial descubrieron dos importantes fallos de seguridad, y ahora los hackers están intentando utilizar herramientas de IA para explotarlos en tiempo récord.

OpenAI lo calificó como “uno de los problemas de seguridad más importantes de los últimos tiempos”, mientras que los investigadores de Wiz, la empresa de seguridad propiedad de Google que descubrió las fallas, dijeron que se encuentra “entre las vulnerabilidades más graves descubiertas en PHP y posiblemente en la historia del software”.

¿Qué fue lo que realmente sucedió y por qué es tan importante?

En segundo plano, PHP impulsa los sitios web al ensamblar el contenido de la página en el servidor y enviar la página terminada a un navegador.

Es gratuito, de código abierto y mantenido por voluntarios, y los propietarios del sitio rara vez interactúan directamente con él.

Según W3Techs, empresa que realiza un seguimiento de las tecnologías web, PHP es el lenguaje de programación que utilizan casi el 70 % de los sitios web que se pueden identificar.

Es el motor que impulsa WordPress, el software que da soporte a aproximadamente el 40 % de todos los sitios web, como blogs, páginas de pequeñas empresas, portales gubernamentales, tiendas en línea y sitios de noticias.

Las dos vulnerabilidades tienen una calificación de 9,2 sobre 10 en la escala de gravedad CVSS v4.0, un sistema de puntuación estándar de la industria.

CERT-EU, el equipo de respuesta ante ciberseguridad de la Unión Europea, afirmó que dicha calificación indica la ejecución remota de código sin autenticación, lo que significa que un atacante puede ejecutar comandos en un servidor vulnerable a través de Internet sin necesidad de contraseña ni cuenta.

Un único fallo en PHP abre la misma puerta en millones de servidores a la vez. Quien explote ese fallo controlará el sitio web.

GoDaddy, proveedor de alojamiento web, afirmó que esto podría implicar el robo de datos, la alteración de páginas web o el compromiso total del sistema. El director de tecnología de Cloudflare indicó que ya se estaban produciendo los primeros ataques.

La mayoría de los sitios web pequeños suelen estar gestionados por propietarios que no cuentan con personal de seguridad, a menudo en alojamiento compartido donde no administran el servidor y es posible que desconozcan quién actualiza PHP.

Wordfence, un plugin de seguridad para sitios WordPress, advirtió que las actualizaciones automáticas habituales no aplicarán esta corrección. La recomendación de CERT-EU es desconectar los sitios afectados en lugar de dejarlos expuestos.

Según informó la compañía, los investigadores de la empresa de seguridad Calif, en colaboración con OpenAI, informaron de la primera vulnerabilidad en PHP el 11 de agosto tras descubrirla en el modelo GPT-5.6 Sol de OpenAI.

Wiz, una empresa de seguridad propiedad de Google, filial de Alphabet, descubrió las vulnerabilidades de forma independiente e informó de una segunda el 24 de agosto, utilizando también modelos de IA.

Wiz afirmó que los hallazgos “se encuentran entre las vulnerabilidades más graves descubiertas en PHP y posiblemente en la historia del software”.

Según la empresa, los fallos subyacentes habían estado presentes durante décadas, pero demostrar que eran explotables requería una serie de pasos “que estaban al límite de lo que los investigadores humanos podían lograr en la práctica”.

El Gobierno del presidente estadounidense Donald Trump declaró que estaba “haciendo un seguimiento y coordinando con las agencias federales y los principales laboratorios de inteligencia artificial para acelerar la publicación de la solución”, refiriéndose al nombre que Trump prefiere para la inteligencia artificial.

El informe presentó el descubrimiento como prueba de que la “superinteligencia” estadounidense fortalece la seguridad nacional.

Un ministro británico confirmó el jueves que 32 servicios gubernamentales están fuera de servicio y cuatro presentan fallos de disponibilidad parcial como consecuencia de la vulnerabilidad de seguridad de PHP. Downing Street afirmó que ningún servicio público importante se vio afectado.

Los sitios web gubernamentales de varias naciones europeas también quedaron fuera de servicio el miércoles, mientras los administradores se apresuraban a solucionar dos fallos de seguridad críticos en PHP, uno de los lenguajes de programación más utilizados en Internet.

Después de que los desarrolladores de PHP anunciaron el miércoles parches para las vulnerabilidades, los funcionarios de ciberseguridad de la UE aconsejaron a las organizaciones que desconectaran los sitios afectados si las soluciones no podían aplicarse de inmediato.

Según Cloudflare, que utilizan millones de sitios web para protegerse contra los ciberataques, casi el 70 % de todos los sitios web se vieron afectados.

El director ejecutivo, Matthew Prince, también reveló que se habían producido millones de intentos de pirateo desde que se compartieron las vulnerabilidades.

“En las 10 horas previas al anuncio público, vimos miles de intentos de explotación en toda la red de Cloudflare”, dijo. “Esa cifra aumentó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en 2 horas y ahora son millones”.

Información adicional proporcionada por las agencias.

Traducción de Olivia Gorsin