Fallos en PHP detectados con ayuda de la IA obligan a suspender servicios digitales en varios países
Washington, 23 oct.— Organismos públicos y empresas de distintos países desconectaron temporalmente páginas web y suspendieron servicios para corregir dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por aproximadamente el 70% de los sitios de internet. Los fallos fueron descubiertos con ayuda de inteligencia artificial y podrían permitir ataques contra sistemas y la exposición de información confidencial, según informó CNN.
El hallazgo se produce en medio de una creciente preocupación, desde Washington hasta Silicon Valley, por la capacidad de la inteligencia artificial para acelerar los ciberataques, además de contribuir a prevenirlos.
La Agencia de Seguridad Nacional de Estados Unidos y la agencia europea de ciberseguridad recomendaron el miércoles adoptar medidas inmediatas para solucionar las vulnerabilidades. PHP forma parte de la infraestructura de numerosos sitios, incluidos los que utilizan WordPress y Drupal, este último un sistema de gestión de contenidos de código abierto.
La PHP Foundation publicó una actualización de seguridad y pidió a los administradores instalarla de inmediato para corregir los fallos, que habían permanecido ocultos durante años.
Riesgo de acceso a sistemas y datos confidenciales
Las vulnerabilidades, identificadas conjuntamente como “PHP2Shell”, fueron descubiertas por equipos de OpenAI, la empresa de ciberseguridad Wiz, propiedad de Google, y otra compañía del sector.
Según la información publicada, los fallos podrían permitir a los atacantes acceder a sitios web y leer datos almacenados en la memoria de los sistemas, entre ellos contraseñas y otra información sensible.
Cloudflare, proveedor de infraestructura de internet que colaboró con la PHP Foundation, OpenAI y Wiz para abordar el problema, explicó que las vulnerabilidades también podrían facilitar la ejecución remota de código, la interrupción de servicios y la exposición de datos de usuarios.
Nigel Green, director ejecutivo de la firma de asesoramiento financiero deVere Group, advirtió que el amplio uso de PHP extiende el riesgo potencial a numerosos servicios de pagos en línea.
Entre las plataformas que podrían estar expuestas mencionó los portales de reservas, mercados digitales, servicios por suscripción, venta de entradas, aplicaciones de reparto y otros sitios que podrían almacenar datos de tarjetas en sistemas construidos con ese lenguaje.
Empresas y gobiernos desconectan páginas como precaución
El medio irlandés The Journal permaneció temporalmente fuera de servicio durante la mañana del jueves mientras reforzaba sus defensas, según comunicó la publicación. De acuerdo con datos del Reuters Institute citados en la nota, es la segunda fuente de noticias digitales más utilizada en Irlanda, detrás de la cadena pública RTÉ.
En Japón, la aerolínea ANA, el operador ferroviario JR West y el grupo financiero MUFG, el mayor banco del país, informaron de suspensiones temporales de algunas páginas y servicios.
También fueron desconectados provisionalmente sitios gubernamentales de Francia, Dinamarca, Finlandia y los Países Bajos mientras se aplicaban las correcciones. Entre ellos figuró el portal de la propia agencia neerlandesa de ciberseguridad.
La Fundación Wikimedia, organización sin fines de lucro que administra Wikipedia, explicó a CNN que trabajaba para corregir las vulnerabilidades y que había desconectado varios sistemas como medida preventiva.
Llamamientos de las autoridades
La situación provocó pronunciamientos de dirigentes políticos. El viceprimer ministro neerlandés, Rob Jetten, aseguró que su gabinete seguía de cerca los problemas de seguridad relacionados con PHP.
La primera ministra japonesa, Sanae Takaichi, pidió a las empresas comprobar si sus sitios de acceso público utilizaban ese lenguaje y prepararse para instalar cuanto antes la actualización anunciada.
En un mensaje publicado el miércoles en X, Takaichi también planteó que las compañías consideraran suspender sus servicios, si fuera necesario, para reducir la exposición mientras implementaban las medidas de protección.
La IA acelera una investigación que antes requería meses
Wiz sostuvo que la inteligencia artificial resultó decisiva para detectar y corregir debilidades que habían permanecido ocultas en el código fuente de PHP durante más de una década.
La empresa calificó el episodio como un punto de inflexión: con modelos avanzados y herramientas adecuadas, un investigador consiguió en una semana un trabajo que anteriormente habría requerido meses de dedicación de un equipo especializado.
El avance, según sus investigadores, consistió en comprender las debilidades y convertirlas en un método funcional de explotación, conocido en ciberseguridad como exploit.
Durante la investigación, el equipo utilizó Gemini 4 Argon, de Google; Wiz Atlas, y GPT-5.6 Sol, de OpenAI.
Los fallos fueron descubiertos a finales de agosto, pero no se divulgaron hasta el miércoles, una vez que se había desarrollado una solución.
Una comparación con Heartbleed
Los investigadores de Wiz compararon el alcance potencial de PHP2Shell con Heartbleed, la vulnerabilidad revelada en 2014 que afectó a una tecnología de cifrado utilizada entonces, según las estimaciones, por dos tercios de la web.
Heartbleed permitió acceder a información que debía permanecer protegida. En el caso de PHP2Shell, Wiz señaló que las debilidades existían desde hacía años, pero demostrar cómo explotarlas exigía una secuencia de pasos excepcionalmente compleja.
La inteligencia artificial redujo esa dificultad y convirtió un problema antiguo en una amenaza técnicamente viable. El episodio refleja así una doble capacidad de estas herramientas: ayudar a descubrir y corregir vulnerabilidades, pero también reducir las barreras para aprovecharlas con fines maliciosos.
Fuente: CNN.