¿Cómo un lenguaje de programación generó una falla que desató alerta en Europa?

Dos fallos de seguridad en PHP encendieron las alarmas en Europa y obligaron a acelerar la aplicación de parches para proteger sitios web gubernamentales y servidores. Las vulnerabilidades recibieron una puntuación de 9.2 sobre 10 en la escala CVSS v4.0, debido a que permitirían a atacantes ejecutar código de forma remota sin necesidad de autenticarse.

PHP, una tecnología clave para internet

PHP es un lenguaje de programación que funciona en los servidores y permite generar el contenido que los usuarios ven al visitar una página web. De acuerdo con W3Techs, esta tecnología se utiliza en casi el 70% de los sitios cuyo lenguaje de programación puede identificarse y forma parte de la infraestructura de WordPress, plataforma que impulsa alrededor del 40% de las páginas web del mundo.

La gravedad de los fallos radica en que un atacante podría ejecutar comandos en un servidor vulnerable a través de internet, sin contar con una contraseña o una cuenta autorizada. Esto podría facilitar el robo de información, la modificación de páginas y el control de sistemas comprometidos, según las advertencias de proveedores de alojamiento web y especialistas en ciberseguridad.

La UE recomienda desconectar los sitios vulnerables

El equipo de respuesta a incidentes informáticos de la Unión Europea, CERT-EU, instó a las organizaciones que no puedan instalar las correcciones a desconectar los sitios afectados para evitar que permanezcan expuestos. La recomendación representa un desafío para pequeñas empresas y administradores de páginas que utilizan servicios de alojamiento compartido y no controlan directamente las actualizaciones del servidor.

Por su parte, Wordfence, herramienta de seguridad para WordPress, advirtió que las actualizaciones automáticas habituales no instalarán necesariamente la solución requerida. El director de tecnología de Cloudflare también señaló la aparición de los primeros ataques, lo que incrementa la urgencia de corregir los sistemas vulnerables.

La inteligencia artificial ayudó a detectar los fallos

Los investigadores de Calif, en colaboración con OpenAI, identificaron una de las vulnerabilidades el 11 de agosto mediante el uso del modelo GPT-5.6 Sol. Posteriormente, la empresa de ciberseguridad Wiz, propiedad de Alphabet, detectó otro fallo de manera independiente y notificó su hallazgo el 24 de agosto, también con ayuda de modelos de inteligencia artificial.

Wiz calificó los descubrimientos como algunos de los más graves registrados en PHP y señaló que los defectos existían desde hacía décadas. El caso también llamó la atención del Gobierno estadounidense, que afirmó estar coordinándose con agencias federales y laboratorios de inteligencia artificial para acelerar la publicación de soluciones. El episodio pone de relieve la importancia de mantener actualizados los servidores y reforzar la seguridad de las plataformas que sostienen buena parte de los servicios digitales.