Se han publicado detalles sobre una vulnerabilidad crítica en el lenguaje de programación PHP, que constituye la base de más del 70 % de los sitios web. De no corregirse, esta vulnerabilidad permitiría a los hackers tomar el control fácilmente de millones de sitios web y comprometer la información almacenada en sus servidores. En respuesta, varios gobiernos y operadores europeos, incluido el Puerto de Róterdam, han suspendido el servicio de sus sitios web.
La Dirección de Señales de Australia, la Agencia de Ciberdefensay organismos similares del Reino Unido, Europa y Japón han advertido a los desarrolladores web que apliquen actualizaciones urgentes a sus sistemas principales y que consideren la posibilidad de desactivar los sitios web hasta que se pueda garantizar la seguridad.
La organización responsable de este lenguaje de programación libre y de código abierto ha publicado actualizaciones que corrigen la vulnerabilidad, pero realizar las actualizaciones en los millones de sistemas que utilizan PHP llevará tiempo.
¿Qué es PHP?
PHP suele denominarse "la columna vertebral de la web". Es un lenguaje de programación —una forma de dar instrucciones a los ordenadores— que existe desde 1997 y permite a los sitios web gestionar las entradas de los usuarios y procesar la información en segundo plano.
La potencia de PHP reside en su versatilidad. Los sitios web lo utilizan para todo, desde el inicio de sesión de usuarios y la gestión de tiendas online, hasta la solicitud de datos a bases de datos y el funcionamiento de millones de publicaciones en blogs y sitios de noticias.
PHP se ejecuta en el servidor, no en tu ordenador personal. Esto significa que la mayoría de nosotros interactuamos con PHP a diario sin siquiera verlo.
Cronología de las preocupaciones
En agosto, un grupo de investigadores de ciberseguridad de una empresa llamada Wiz utilizó sus propias herramientas y las últimas versiones de los modelos de IA Gemini de Google y ChatGPT de OpenAI para rastrear el enorme código fuente de PHP.
El equipo de Wiz buscaba vulnerabilidades de programación ocultas que un atacante pudiera combinar para tomar el control de un sistema que ejecuta PHP simplemente enviando una solicitud cuidadosamente elaborada a través de Internet.
En pocos días, encontraron la manera de infiltrarse en sistemas basados en PHP como Drupal y WordPress , que se utilizan en gran parte de la web.
Wiz se puso en contacto con el equipo de seguridad de PHP para informarles sobre las vulnerabilidades que habían encontrado. A finales de septiembre, los desarrolladores de PHP confirmaron la existencia del problema y comenzaron a trabajar discretamente en una solución.
En ciberseguridad, lo responsable al encontrar una vulnerabilidad es mantenerla en secreto hasta que se publique un parche. Esto se debe a que su divulgación pública podría proporcionar a los hackers una guía detallada para explotarla.
Esto parece ser lo que los desarrolladores de PHP tenían planeado. Sin embargo, ayer un usuario del popular sitio web Hacker News reveló información sobre las fallas de seguridad antes de que estuvieran listas las correcciones.
Tras la filtración, los desarrolladores de PHP se apresuraron a confirmar públicamente el problema el 21 de octubre y publicaron parches de emergencia antes de lo previsto.
Implementar los parches dista mucho de ser sencillo. Dado que PHP se encuentra en la base de miles de complementos, marcos de trabajo y servicios de alojamiento gestionado de terceros, los sitios web solo son seguros una vez que cada capa de la cadena de suministro integra e implementa la solución para PHP.
¿Por qué sigue ocurriendo esto?
Gran parte de internet se basa en tecnologías fundamentales desarrolladas y mantenidas por programadores aficionados. Muchos dependen de la buena voluntad y las donaciones, en lugar de una financiación corporativa sólida.
Muchas de estas herramientas se desarrollaron hace décadas. Nunca se diseñaron para soportar de forma segura un mundo donde millones de sitios web y miles de millones de dispositivos las utilizan para manejar datos sensibles y privados.
Este problema se agrava por el hecho de que el mantenimiento rara vez es una prioridad para las organizaciones. Con demasiada frecuencia, las empresas solo tienen un conocimiento muy básico de todos los componentes de sus cadenas de suministro, ya sean físicos o digitales.
Incluso en casos tan mediáticos como este, muchas empresas ni siquiera se dan cuenta del software del que dependen, y mucho menos tienen idea de lo seguro que es realmente.
¿Qué deberías hacer?
Este problema afecta principalmente a quienes administran sitios web o infraestructura técnica. Para ellos, la prioridad es clara: actualizar los sistemas inmediatamente cuando haya actualizaciones disponibles y considerar la posibilidad de desconectar los sistemas críticos de internet hasta que se pueda garantizar su seguridad.
Para los usuarios habituales de internet, estas vulnerabilidades afectan a los servidores que alojan los sitios web, no a sus dispositivos personales. Sin embargo, dado que algunos sitios pueden verse comprometidos temporalmente antes de que se puedan solucionar, es recomendable tener precaución al introducir datos personales confidenciales en sitios web desconocidos durante los próximos días.
Los principales proveedores de servicios en la nube y las empresas de seguridad están implementando filtros de emergencia, pero la carrera global por proteger la web no ha hecho más que empezar.
Los equipos de ciberseguridad de todo el mundo se apresuran a contener los daños. Pero la magnitud de este problema debería servir como una llamada de atención.
Los gobiernos y las empresas no pueden ignorar la resiliencia de sus cadenas de suministro digitales. Del mismo modo que los fabricantes rastrean a los proveedores de los componentes físicos de los que dependen, cabe esperar que la infraestructura digital también rastree cada sistema y marco de trabajo del que depende.
Recopilar esta información es el primer paso para que las empresas y los gobiernos comprendan realmente hasta qué punto su viabilidad digital depende de código subfinanciado y mantenido por voluntarios. Mientras las empresas no consideren la financiación de herramientas básicas de código abierto como una inversión crucial en seguridad, en lugar de una simple donación, estas vulnerabilidades seguirán existiendo.
Andrew Cullen, investigador invitado de la Escuela de Informática y Sistemas de Información de la Universidad de Melbourne.
Este artículo se republica de The Conversation bajo una licencia Creative Commons. Lea el artículo original.
