Gobiernos y empresas corrigen fallas en PHP ante riesgos para sitios web

Gobiernos y empresas trabajaron durante la noche para corregir dos vulnerabilidades en PHP, un lenguaje de programación utilizado por alrededor del 70 por ciento de los sitios web del mundo, según información de Associated Press. Las fallas podrían permitir el acceso remoto de atacantes y comprometer datos y redes.

Aunque numerosos portales gubernamentales funcionaban con normalidad este jueves 22 de octubre, otros mantenían interrupciones o servicios limitados mientras sus administradores aplicaban medidas de seguridad.

La división cibernética del FBI advirtió el miércoles sobre la posibilidad de que actores maliciosos ejecutaran código de forma remota. Recomendó desconectar temporalmente los sitios cuyos operadores no pudieran instalar las actualizaciones de inmediato.

Reino Unido, Finlandia y Japón reportan ajustes en sus servicios

La oficina de la primera ministra o primer ministro británico informó que se habían realizado trabajos en todo el Gobierno para identificar y corregir posibles exposiciones. Una portavoz señaló que los especialistas mantenían coordinación con OpenAI y socios internacionales.

Según esa oficina, ningún servicio público estaba siendo afectado por el ejercicio, aunque algunos servicios digitales podrían quedar temporalmente fuera de línea durante los trabajos.

En Finlandia, el portal gubernamental informó que la interrupción había sido resuelta, pero parte del contenido seguía en proceso de restauración.

En Japón, el sitio de la prefectura de Osaka reportó que su herramienta de traducción automática no estaba disponible por una falla del sistema.

La primera ministra japonesa, Sanae Takaichi, pidió a los administradores comprobar si sus sitios utilizaban PHP e instalar el parche publicado a última hora del miércoles. También señaló que suspender temporalmente los portales podía reducir los riesgos cuando no fuera posible actualizarlos con rapidez.

El secretario jefe del gabinete, Minoru Kihara, indicó que no se habían recibido reportes de daños por ciberataques vinculados con estas vulnerabilidades. Explicó que algunas secciones de sitios gubernamentales fueron desconectadas por precaución.

Qué riesgos representan las vulnerabilidades

James Sullivan, director de Cibernética del Royal United Services Institute de Londres, explicó a AP que las fallas podrían permitir el control remoto de un servidor sin contraseña. Esto abriría la posibilidad de robar o modificar información, o utilizar el sistema para lanzar otros ataques.

Una de las vulnerabilidades está relacionada con corrupción de memoria, que podría aprovecharse para ejecutar código malicioso. La otra permite que información de usuarios permanezca almacenada cuando debería eliminarse, con el riesgo de accesos no autorizados, descargas o borrado de datos, según Sullivan.

El especialista consideró adecuada la desconexión preventiva mientras se aplican las correcciones. También señaló que algunos de los problemas se remontan a software creado hace más de una década.

OpenAI informó en un blog que encabezó durante dos meses una coalición de investigadores y proveedores de seguridad para abordar las fallas, cuya identificación contó con ayuda de agentes de inteligencia artificial. La empresa sostuvo que, aparentemente, fueron encontradas antes de que algún atacante las descubriera.

Por su parte, la Fundación PHP indicó que tenía conocimiento de la vulnerabilidad desde al menos 2024. Reconoció que la demora en resolverla respondió a problemas estructurales en las decisiones del equipo de seguridad y a la falta de recursos.

La actualización de todos los sistemas podría prolongarse

Charl van der Walt, jefe de investigación de seguridad de Orange Cyberdefense, advirtió que los efectos podrían extenderse durante semanas o meses debido a la presencia de PHP en numerosos sitios, aplicaciones y dispositivos conectados, desde blogs hasta cámaras para bebés o electrodomésticos.

Explicó que publicar una corrección no resuelve por sí solo el problema: cada organización debe identificar dónde utiliza el software, quién administra esos sistemas y cuándo puede actualizarlo.

El periodo más intenso de correcciones podría concentrarse en las próximas semanas, aunque eliminar todas las instalaciones rezagadas podría tomar meses o años, estimó.

Sullivan añadió que existen distintos parches para diferentes tipos de software. Algunas organizaciones pueden estar esperando las actualizaciones correspondientes o realizando pruebas para comprobar su funcionamiento.

Inteligencia artificial plantea oportunidades y riesgos

Los especialistas coincidieron en que la inteligencia artificial puede ayudar tanto a descubrir y corregir vulnerabilidades como a facilitar su identificación por parte de atacantes.

Van der Walt señaló que las correcciones deben ser sólidas, probadas y aprobadas. Como ejemplos hipotéticos de dificultades adicionales, mencionó sistemas instalados en objetos de acceso complejo, como un marcapasos o equipos de entretenimiento de aviones.

La Fundación PHP anunció el miércoles por la noche la publicación de correcciones e instrucciones de actualización. La Agencia de la Unión Europea para la Ciberseguridad, ENISA, pidió a las organizaciones actuar de inmediato.

Sullivan llamó a evitar interpretaciones apocalípticas y destacó medidas como identificar sistemas expuestos, instalar actualizaciones oportunamente y utilizar autenticación de dos factores.