Agencias gubernamentales, hospitales y empresas de varios continentes cerraron sus portales este miércoles 21 de octubre tras la divulgación de dos fallas graves en PHP, el lenguaje que sustenta gran parte de la web. La Agencia de Seguridad Nacional de EE. UU. (NSA) emitió una alerta urgente, recomendando aplicar los parches de inmediato o, en su defecto, desconectar los servidores vulnerables. Según el comunicado oficial, las vulnerabilidades permiten el acceso directo al sistema de archivos y a bases de datos, sin necesidad de credenciales, lo que facilita la toma de control total del sitio.
PHP es la columna vertebral de plataformas populares como WordPress, Drupal y Joomla, por lo que el impacto potencial abarca desde tiendas en línea y medios de comunicación hasta portales gubernamentales. En Alemania, la Oficina Federal de Seguridad en Tecnologías de la Información (BSI) advirtió sobre la posibilidad de ataques masivos en las horas siguientes a la publicación de los parches. Thomas Caspers, vicepresidente de la BSI, señaló que “es probable que se produzca un aprovechamiento a gran escala y a corto plazo”.
Otros gobiernos, como Japón y Países Bajos, replicaron la recomendación de actualizar PHP sin dilación. La propia PHP Foundation, entidad que financia el desarrollo del lenguaje, reforzó el mensaje en su blog: “Si utiliza PHP, es imperativo actualizarlo de inmediato”. Este llamado se produce en medio de un auge de descubrimientos de vulnerabilidades impulsado por herramientas de inteligencia artificial cada vez más sofisticadas, que podrían duplicar el número de fallas detectadas en 2026 respecto al año anterior.
Las fallas fueron identificadas en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, de forma independiente. Posteriormente, Wiz, empresa de seguridad en la nube vinculada a Google, informó de variantes adicionales de explotación. Los detalles se mantuvieron confidenciales mientras se preparaba una corrección, pero se filtraron en línea el martes, un día antes del lanzamiento oficial, desencadenando una carrera contrarreloj para desconectar sitios y aplicar los parches.
En Alemania, el Hospital Universitario Charité de Berlín y otras instituciones públicas retiraron sus páginas web como medida preventiva, según informó el diario Bild. La decisión refleja la creciente preocupación por el cibercrimen potenciado por IA, que ha convertido a los servidores PHP en un blanco atractivo para actores maliciosos.
Con la presión de organismos de seguridad y la comunidad tecnológica, la expectativa es que la mayoría de los operadores apliquen los parches en las próximas horas. El episodio subraya la necesidad de mantener actualizados los componentes críticos de la infraestructura digital y de contar con planes de contingencia ante vulnerabilidades de alto riesgo.
Fuente: Dw