Dos vulnerabilidades críticas en PHP encendieron las alertas de ciberseguridad a nivel mundial. La NSA de Estados Unidos recomendó actualizar los sistemas de inmediato o desconectar aquellos que permanezcan expuestos.
Agencias gubernamentales y empresas de distintos países desconectaron sitios web este miércoles 21 de octubre, luego de que se conocieran dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en una gran cantidad de plataformas y servicios de internet. Las fallas podrían permitir que ciberdelincuentes tomen el control de servidores sin necesidad de contar con una contraseña.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a instalar las actualizaciones de seguridad correspondientes o desconectar temporalmente los sistemas vulnerables. Según la institución, este tipo de fallas puede abrir una vía de acceso directo a los archivos o a las bases de datos de los servidores afectados.
El alcance potencial del problema es amplio, debido a que PHP se utiliza en numerosas plataformas de desarrollo web. Por ese motivo, las vulnerabilidades podrían comprometer desde tiendas en línea y medios de comunicación hasta portales de instituciones públicas y servicios digitales.
Francia y Países Bajos adoptaron medidas preventivas
En Francia, varios sitios de administraciones locales, incluida la Prefectura de Policía de París, quedaron inaccesibles desde la tarde del miércoles por disposición de las autoridades de ciberseguridad. El Ministerio del Interior informó que la medida se tomó tras detectar una vulnerabilidad crítica.
En Países Bajos, las acciones preventivas alcanzaron al servicio nacional de identidad digital DigiD, al sitio web de la Cámara de Representantes y al portal del centro nacional de ciberseguridad, según informó la radiodifusora pública NOS.
Las desconexiones buscan reducir los riesgos mientras se implementan las correcciones necesarias y se verifica la seguridad de los sistemas expuestos.
La inteligencia artificial acelera la detección de vulnerabilidades
Las fallas fueron reportadas en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que identificó los problemas de manera independiente. Posteriormente, Wiz, empresa especializada en seguridad en la nube y propiedad de Google, comunicó otras formas en las que las vulnerabilidades podían ser explotadas.
Inicialmente, los detalles se mantuvieron bajo reserva y fueron comunicados a los desarrolladores de PHP para permitir la preparación de una solución antes de su divulgación pública. Sin embargo, parte de la información se filtró en internet el martes, un día antes del lanzamiento previsto de la corrección, lo que aceleró la respuesta de organizaciones y autoridades.
El proyecto PHP publicó una actualización para corregir los problemas. La PHP Foundation, organización que financia a desarrolladores del lenguaje, instó a los usuarios a actualizar sus sistemas de inmediato.
El episodio se produce en un contexto de aumento de las vulnerabilidades informáticas detectadas mediante modelos de inteligencia artificial cada vez más avanzados. De mantenerse la tendencia, la cantidad de fallas identificadas durante 2026 podría duplicar el récord registrado el año anterior.
El caso vuelve a poner de relieve los desafíos de la ciberseguridad en un entorno digital cada vez más interconectado, donde una vulnerabilidad en una tecnología ampliamente utilizada puede generar consecuencias en servicios de distintos sectores y países.
Fuente: AFP, con información de las autoridades de ciberseguridad y organismos citados.
