¿Qué es PHP y por qué una falla en este lenguaje obligó a apagar sitios web de gobiernos del mundo?

Gobiernos de Francia, Canadá, Países Bajos y República Checa apagaron el miércoles parte de sus páginas web oficiales porque se conocieron dos fallas en PHP, la herramienta con la que se construye la mayoría de sitios de internet, que dejaban a un atacante entrar y tomar el control sin necesidad de contraseña.

PHP está detrás de cerca del 75 % de los sitios web cuya tecnología se puede identificar, según W3Techs, empresa que rastrea con qué está hecha cada página. En Colombia, el Equipo de Respuesta a Emergencias Cibernéticas de Colombia (Colcert), del Ministerio TIC, contó 8.699 servicios con PHP conectados a internet y lanzó una alerta crítica, aunque aclaró que no todos están en riesgo.

Fallas en PHP fueron detectadas con inteligencia artificial por Calif, OpenAI y Wiz. Foto: Canva.

¿Qué es PHP y por qué está en tantas páginas?

PHP es un lenguaje de programación, es decir, un conjunto de instrucciones que le dice a un computador qué hacer. Cada vez que alguien entra a una página, PHP arma lo que aparece en pantalla, como textos, fotos o formularios, y lo envía al celular o al computador del visitante. Es gratuito, nació a principios de los años 90 y lo mantienen voluntarios.

Con PHP funcionan WordPress, Drupal y Joomla, las herramientas más usadas para crear tiendas en línea, medios de noticias y páginas de entidades públicas. Una falla en PHP alcanza a cualquier sitio construido con ellas.

"Todos los servidores que utilicen cualquier versión de PHP lanzada en los últimos 20 años serán vulnerables. Este problema afecta a la mayor parte de internet", dijo Tiffany Farriss, directora ejecutiva interina de la Asociación Drupal.

¿Qué podía hacer un atacante con estas fallas?

Un atacante podía meterse al servidor, que es el computador donde vive una página web, y darle órdenes como si fuera el dueño. Estas fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor", advirtió en X la Agencia de Seguridad Nacional de Estados Unidos (NSA).

El equipo de PHP calificó la gravedad de las dos fallas en 9,2 sobre 10. La primera aparece cuando la página se queda sin memoria a mitad de una visita y deja información a medio armar. La segunda deja rastros de un visitante anterior que el siguiente puede aprovechar. Los investigadores las bautizaron PHP2Shell.

PHP publicó cuatro versiones corregidas para las fallas críticas PHP2Shell. Foto: Canva.

¿Por qué los gobiernos apagaron sus páginas?

Los gobiernos apagaron sus páginas porque los detalles de las fallas se filtraron en internet el martes 20 de octubre, un día antes de que PHP publicara el arreglo, y las agencias de ciberseguridad de Europa, Australia, Japón y el Reino Unido recomendaron desconectar los sitios que no pudieran actualizarse a tiempo. PHP tenía previsto publicar la corrección el miércoles a las 9:00 a. m., hora de Colombia, y avisó que podía adelantarla si los datos se hacían públicos.

En Francia, las páginas de administraciones locales, entre ellas la de la Prefectura de Policía de París, quedaron fuera de servicio desde la tarde del miércoles a pedido de la Agencia Nacional de Ciberseguridad francesa, tras la "detección de una vulnerabilidad crítica de seguridad", según el Ministerio del Interior.

El Gobierno de Países Bajos desconectó DigiD, el servicio con el que los ciudadanos hacen trámites en línea, y los portales Overheid.nl y MijnOverheid.nl. Hasta el centro nacional de ciberseguridad neerlandés apagó su propia página. El Gobierno checo hizo lo mismo a las 7:00 p. m. hora local, para "permitir la implementación de los parches de seguridad necesarios".

"Algunos sitios web del Gobierno de Canadá fueron desconectados temporalmente como precaución para proteger los sistemas del Gobierno y la información de los canadienses", escribió en X Evan Solomon, ministro de Inteligencia Artificial e Innovación Digital de Canadá. Wikipedia también apagó una parte de sus sistemas.

¿Quién descubrió las fallas de PHP?

La empresa de seguridad Calif y OpenAI, creadora de ChatGPT, encontraron las fallas por separado y las reportaron el mismo día de agosto. Después, Wiz, empresa de seguridad de Google, halló más formas de aprovecharlas. Las tres usaron inteligencia artificial, y los errores llevaban más de 10 años escondidos en PHP.

"Antes de la IA, este trabajo manual habría sido difícil de llevar a cabo y aún más difícil ampliarlo. Con la IA, esto ya no supone un obstáculo", publicó Wiz. La Casa Blanca dijo que se enteró del problema el viernes 16 de octubre.

Los ataques no tardaron. Cloudflare, empresa que protege páginas web, registró decenas de miles de intentos 45 minutos después del anuncio y millones al día siguiente. Amazon detectó un intento el 17 de octubre, cuatro días antes del arreglo.

Evan Solomon anunció la desconexión de sitios federales de Canadá por fallas en PHP. Foto: Canva.

¿Cómo se arregla la falla de PHP?

La falla se arregla instalando una versión nueva de PHP, y eso le toca a quien administra la página o a la empresa que la aloja, no a los visitantes. PHP publicó el miércoles cuatro versiones corregidas:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35, que deja de recibir arreglos el 31 de diciembre de 2026

Las páginas que siguen en PHP 8.1 o en versiones más viejas no tienen actualización oficial. "Actualizar es la única opción segura", escribió el equipo de PHP en su aviso oficial.

El viernes 23 de octubre, PHP publicó un nuevo aviso sobre una tercera falla, relacionada con la función que muestra cuánto falta para que termine de subirse un archivo a una página. Recomendó apagar esa función hasta la próxima actualización, aunque aclaró que el ataque solo funciona con una combinación poco común de ajustes.

Con información de AFP.