¿Qué es PHP y por qué generó una falla de seguridad en internet que desató una alerta global?
Fuente de la imagen, Getty Images
Durante más de una década, graves fallos en la tecnología que sustenta gran parte de Internet habían pasado desapercibidos.
Fue necesaria la inteligencia artificial (IA) para sacarlos a la luz y provocar una alerta mundial sobre ciberseguridad.
Las vulnerabilidades residen en un lenguaje de programación llamado PHP, que se ha utilizado internacionalmente desde principios de los 2000 para crear sitios web.
Los gobiernos y las agencias de ciberseguridad de todo el mundo se apresuran a contener las consecuencias del descubrimiento del miércoles, y han instado a los operadores de sitios web a instalar una nueva solución de emergencia o a considerar la posibilidad de desconectar sus plataformas.
La empresa de ciberseguridad Wiz, una de las compañías cuyos investigadores descubrieron los puntos débiles de este sistema, describió los fallos como los “más graves” jamás detectados por la IA.
OpenAI, cuya tecnología se utilizó para encontrar las vulnerabilidades, calificó el hallazgo como “uno de los problemas de seguridad más importantes de los últimos tiempos”.
¿Cuál es el defecto?
Aunque la mayoría de la gente no conoce PHP, probablemente interactúa con él todos los días.
Se trata del acrónimo para Hypertext Preprocessor (Preprocesador de Hipertexto) y constituye la base de una gran cantidad de plataformas, incluidas tiendas en línea, de populares sitios como Wikipedia y de WordPress, el sistema de gestión de contenidos que se encuentra detrás de muchas páginas y blogs.
Cuando visitas un sitio web como Wikipedia, PHP es el código que recopila la información que necesitas y la presenta de una manera que la puedas leer en la web, explicó a la BBC Paul Spain, director ejecutivo de Gorilla Cyber Security.
Sin embargo, debido a una vulnerabilidad que permitía a los atacantes tomar el control de los servidores web afectados sin necesidad de autenticación y robar datos confidenciales, todo lo que funcionaba sobre PHP quedó expuesto.
Según Spain, la IA podría facilitar y agilizar este tipo de ataques, y estima que la vulnerabilidad podría afectar a “millones y millones” de sitios web.
Sería “desastroso” que los piratas informáticos o los países aprovecharan esta vulnerabilidad para robar datos privados de las páginas web, afirmó Jill Slay, investigadora de ciberseguridad de la Universidad de Adelaida (Australia).
Fuente de la imagen, Yong Teck Lim/Getty Images
¿Qué sitios web se han visto afectados?
La alerta ha interrumpido servicios a nivel mundial, desde plataformas de juegos hasta portales gubernamentales y foros en línea.
Eso incluye a Wikimedia, la organización detrás de la enciclopedia en línea Wikipedia, que desactivó varios de sus sistemas como medida de precaución.
El gobierno finlandés, el ayuntamiento de Edimburgo y la BBC han retirado de internet sitios web y páginas, y la agencia de ciberseguridad de los Países Bajos también ha eliminado su página web.
Varias organizaciones públicas de Escocia, incluidos ayuntamientos y juntas de salud, también han desactivado sus sitios web.
Algunos expertos advierten que esta vulnerabilidad podría dejar en mayor riesgo a los sitios web con un mantenimiento deficiente, en particular a aquellos que pertenecen a organizaciones más pequeñas con recursos de seguridad limitados.
Es probable que en las próximas semanas se produzcan más intentos de explotar estas vulnerabilidades, ya que los detalles técnicos se están haciendo públicos, según declaró Salil Kanhere, investigador de ciberseguridad de la UNSW Sydney (Australia).
¿Qué pasó después de que se descubrieran los fallos?
El miércoles, los desarrolladores de PHP lanzaron actualizaciones para corregir vulnerabilidades que llevaban años presentes en el software.
“Se recomienda encarecidamente a todos los usuarios de PHP que actualicen de inmediato”, dijo la compañía.
Las autoridades y los organismos de seguridad de todo el mundo se han hecho eco de esas advertencias a los operadores de sitios web para que protejan sus plataformas.
La Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) recomendó a todas las organizaciones que utilizan PHP que desconecten sus sistemas si no pueden aplicar los parches de inmediato, y añadió que la vulnerabilidad podría proporcionar una “vía directa” para explotar la base de datos del sistema.
“Estos riesgos son lo suficientemente graves como para requerir la aplicación inmediata de medidas correctivas en todos los departamentos y agencias del gobierno de Estados Unidos”, declaró la agencia.
El Centro Nacional de Ciberseguridad de Reino Unido dio consejos similares e instó a las organizaciones a comprobar si existen “puertas traseras instaladas por un atacante”.
Sus homólogos en la Unión Europea (UE), Singapur y Australia también han emitido alertas similares.
La primera ministra japonesa, Sanae Takaichi, instó a la población a comprobar si sus sitios web funcionaban con PHP.
Fuente de la imagen, EPA
“Tenemos una petición urgente para que todos actúen esta noche”, escribió Takaichi en X.
“Si resulta difícil aplicar la corrección con prontitud, la suspensión temporal de sitios web y medidas similares pueden considerarse una forma eficaz de reducir el riesgo”, afirmó la mandataria.
Las empresas tecnológicas también se han apresurado a proteger sus sistemas.
El gigante del comercio electrónico Amazon afirmó haber sido blanco de múltiples ataques días antes de que se hiciera pública la vulnerabilidad de PHP.
Se desconoce cómo los atacantes tuvieron conocimiento de la debilidad.
Fuente de la imagen, Bloomberg via Getty Images
¿Cómo encuentra la IA los puntos débiles?
Las vulnerabilidades fueron descubiertas por investigadores de las empresas de seguridad Calif y Wiz.
Los expertos utilizaron herramientas avanzadas de inteligencia artificial capaces de analizar el código y encontrar fallos mucho más rápido que los humanos o los sistemas más antiguos.
“El software moderno es increíblemente complejo, y algunas vulnerabilidades pueden permanecer sin detectar durante años”, dijo Kanhere.
“Los fallos subyacentes no eran nuevos; lo que cambió fue nuestra capacidad para encontrarlos”, agregó.
Esta semana se filtraron en internet detalles del descubrimiento, lo que obligó a los desarrolladores de la plataforma PHP a apresurarse a anunciar la vulnerabilidad de seguridad y su enorme magnitud.
El incidente “pone de manifiesto cómo la IA puede descubrir fallos de seguridad”, pero también cómo puede “ayudar a los atacantes a desarrollar rápidamente herramientas ofensivas y a explotar vulnerabilidades”, afirmó OpenAI en una publicación de blog.
La empresa creadora de ChatGPT afirmó haber lanzado un programa para comprobar si la plataforma PHP es segura.
“Muchos de estos fallos se deben a la forma en que se desarrollaba el software en el pasado, que se diseñaba pensando en la funcionalidad y no en la seguridad”, afirmó Ryan Ko, del Centro de Investigación Cibernética de la Universidad de Queensland.
Fuente de la imagen, Getty Images
¿Qué pueden hacer las personas para protegerse?
Se ha recomendado a los propietarios de sitios web que protejan sus plataformas con la versión más reciente de PHP.
Según Spain, la actualización del software PHP es una solución pequeña y rutinaria para la mayoría de los equipos técnicos.
La NSA ha instado a extremar la precaución en las próximas semanas y a seguir de cerca las actualizaciones de los proveedores de software.
“La vigilancia a la hora de aplicar parches relacionados con esos sistemas es primordial”, decía el comunicado.
La responsabilidad recae principalmente en los operadores de los sitios web, pero los usuarios deben estar atentos a cualquier consejo de seguridad emitido por los servicios afectados, como las solicitudes para cambiar las contraseñas, dijo Kanhere.
Asimismo, advirtió sobre posibles campañas de phishing —un tipo de fraude cibernético en el que los atacantes se hacen pasar por organizaciones o personas para obtener datos sensibles e inducir transferencias de dinero— que podrían aprovechar la atención generada por el incidente.
Este artículo fue escrito originalmente en inglés y usamos una herramienta de inteligencia artificial para traducirlo. Un periodista de la BBC revisó el texto antes de su publicación. Más información sobre cómo usamos IA.
