Fallo de seguridad en PHP pone en riesgo 70% de sitios web

El lenguaje de programación PHP, responsable de impulsar alrededor del 70% de los sitios web a nivel mundial, fue expuesto a una serie de vulnerabilidades que podrían permitir el acceso no autorizado a sistemas. La Fundación PHP y la división cibernética del FBI alertaron sobre la situación el miércoles, instando a los usuarios a corregir las brechas o cerrar sus sitios si no podían actualizarlos.

Según la Fundación PHP, estas vulnerabilidades se conocen desde al menos 2,024. Un equipo de seguridad desarrolló varias soluciones alternativas, pero todas presentaban inconvenientes, y al parecer no existía una forma práctica o concreta de que los atacantes pudieran explotarlas, por lo que el desarrollo de una solución se estancó, según la fundación.

El grupo asumió la responsabilidad por no haber encontrado una solución antes, declarando: «No vamos a fingir lo contrario: la demora fue un fallo estructural, causado tanto por el proceso de toma de decisiones del equipo de seguridad como por su falta de recursos».

La exposición de las vulnerabilidades ha tenido consecuencias prácticas, con interrupciones en algunos servicios y sitios web gubernamentales, incluidos los del Reino Unido, Finlandia y Japón. Es posible que algunos sitios web sigan sin funcionar debido a que existen múltiples parches disponibles para distintos tipos de software, y algunas organizaciones aún podrían estar esperando recibirlos.

Además, es necesario probarlos para asegurar su correcto funcionamiento. Según los avisos de seguridad emitidos esta semana, varios sitios web fueron desconectados temporalmente para evitar filtraciones mientras se solucionaba el problema.

La inteligencia artificial ha jugado un papel clave en la identificación de estas vulnerabilidades. En una publicación de blog, OpenAI afirmó haber liderado una coalición de investigadores, proveedores de seguridad y otros para abordar las vulnerabilidades en PHP durante los últimos dos meses. Investigadores de Wiz, una plataforma de seguridad en la nube, también indicaron que utilizaron IA de forma independiente para identificar las vulnerabilidades.

La accesibilidad de la IA implica que muchas organizaciones, grandes y pequeñas, ahora cuentan con métodos más avanzados para responder de forma proactiva y reactiva a las amenazas de seguridad. Sin embargo, también significa que los ciberdelincuentes disponen de métodos más sofisticados para explotar las vulnerabilidades digitales a gran escala.

James Sullivan, del Royal United Services Institute de Londres, dijo que esta dinámica de tira y aflojo puede ser preocupante, pero él está centrado en el lado positivo. «Hemos visto un caso de uso bastante bueno en el que la IA puede descubrir algunas vulnerabilidades críticas y luego la comunidad puede unirse para solucionarlas», dijo.