Agencias gubernamentales y empresas de todo el mundo cerraron sitios web este miércoles 21 de octubre después de que salieran a la luz dos fallas críticas relacionadas con PHP, un lenguaje de programación que sirve de base para una gran parte de internet. Francia y Países Bajos ya tomaron medidas.
Varios sitios web gubernamentales quedaron fuera de servicio el miércoles 21 de octubre después de que la revelación de vulnerabilidades críticas de PHP, un lenguaje de programación ampliamente utilizado, provocara que los operadores de sitios web de todo el mundo se apresuraran a proteger sus sistemas.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a aplicar parches de inmediato o desconectar los sistemas vulnerables.
Los desarrolladores del lenguaje de programación PHP publicaron el miércoles nuevas correcciones urgentes para vulnerabilidades que habían estado latentes en su software durante años hasta que fueron descubiertas mediante inteligencia artificial, e indicaron que se "alienta a todos los usuarios a actualizar de inmediato".
Ante las advertencias de las empresas tecnológicas de que algunos piratas informáticos ya estaban explotando las vulnerabilidades, varios organismos gubernamentales de toda Europa, entre otros, desconectaron algunos sitios web como medida de precaución.
Las fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor", señaló la NSA en un comunicado en X. Los atacantes podrían utilizarlas para tomar control de servidores web sin necesidad de una contraseña.
PHP sirve de base para populares plataformas de diseño web, por lo que las debilidades potencialmente afectan a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales.
Otra alarma sobre la inteligencia artificial
El hallazgo se produjo en medio de un auge de divulgaciones sobre seguridad de software impulsado por modelos de inteligencia artificial (IA) cada vez más potentes. De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord alcanzado el año pasado.
Voluntarios del proyecto PHP publicaron una corrección el miércoles para subsanar el problema.
"Si utiliza PHP, es imperativo actualizarlo de inmediato", señaló en una entrada de blog la PHP Foundation, que financia a los desarrolladores que trabajan en el lenguaje.
Las fallas fueron reportadas en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que las señaló de forma independiente el mismo día.
Posteriormente, Wiz, una empresa de seguridad en la nube propiedad de Google, informó de más formas de explotarlas.
En ese momento, las fallas se comunicaron en privado a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una corrección.
Los detalles se filtraron en línea el martes, un día antes del lanzamiento previsto, lo que provocó una carrera contrarreloj para desconectar sitios.
Francia y Países Bajos toman medidas
"Todos los servidores que utilicen cualquier versión de PHP lanzada en los últimos 20 años serán vulnerables", declaró Tiffany Farriss, directora ejecutiva interina de la Asociación Drupal. «Este problema afecta a la mayor parte de Internet».
En Francia, sitios web de administraciones locales, incluida la Prefectura de Policía de París, son inaccesibles desde la tarde del miércoles a petición de la Agencia Nacional de Ciberseguridad francesa, tras la "detección de una vulnerabilidad crítica de seguridad", según informó el Ministerio del Interior.
En Países Bajos, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el del centro nacional de ciberseguridad se desconectaron como medida de precaución, de acuerdo con la radiodifusora pública neerlandesa NOS.
El Gobierno checo también desconectó su sitio web el miércoles por la noche a las 19:00 (17:00 GMT) tras una advertencia del organismo de control cibernético del país sobre vulnerabilidades de seguridad en el lenguaje de programación PHP para "permitir la implementación de los parches de seguridad necesarios".
Fuente: France24