PHP: la falla que pone en riesgo gran parte de internet y acelera la carrera por parchear sistemas

El jueves por la mañana, quien intentaba entrar al sitio del gobierno de Finlandia encontraba un aviso en lugar de la página: los sitios gubernamentales no estaban disponibles total o parcialmente, el problema se estaba resolviendo y convenía volver a intentarlo en un rato. No era una avería corriente. Era una de las consecuencias de una falla de seguridad en PHP, el lenguaje de programación sobre el que corre buena parte de la web.

PHP, siglas de PHP: Hypertext Preprocessor, es un lenguaje de código abierto con décadas de existencia que sirve para desarrollar y ejecutar aplicaciones web. Según algunas estimaciones, alrededor del 70 por ciento de los sitios y aplicaciones web lo usan. Es componente esencial de gestores de contenido como WordPress y Drupal, de modo que muchas empresas dependen de él sin saberlo: funciona como una infraestructura invisible.

La vulnerabilidad llevaba años escondida en el software. La identificaron investigadores de Calif, una pequeña firma estadounidense de ciberseguridad, con ayuda del modelo GPT-5.6 Sol de OpenAI. Investigadores de Wiz, empresa de seguridad israelí-estadounidense propiedad de Google, reportaron los problemas de forma independiente. OpenAI señaló en un blog que el hallazgo muestra cómo la IA puede descubrir fallas con impacto a escala de internet, pero que esas mismas capacidades pueden ayudar a los atacantes a crear rápidamente herramientas ofensivas. Añadió que, hasta donde sabe, la IA de vanguardia encontró estas fallas antes que los atacantes.

La divulgación se complicó por una filtración. El martes, detalles de los errores aparecieron en una publicación de un foro de hackers, y la fundación sin ánimo de lucro que supervisa el software adelantó un día el lanzamiento de la solución, que salió el miércoles. Ese día defensores y atacantes empezaron una carrera por proteger o comprometer sistemas. Los expertos advierten que, al ser públicos los detalles técnicos, los malintencionados pueden aplicar ingeniería inversa al parche para multiplicar sus intentos.

Amazon aportó un indicio inquietante a última hora del miércoles. Según una entrada de blog, un actor desconocido intentó usar el ataque cuatro días antes del parche contra una red señuelo, o «honeypot», que la empresa mantiene para atrapar delincuentes. Su director de seguridad de la información, C.J. Moses, escribió que aún no está claro cómo obtuvo el atacante la información antes de la divulgación.

La escala de la actividad la describió Matthew Prince, director ejecutivo de Cloudflare. En una publicación en redes dijo que la empresa detectó miles de intentos de explotación en las horas previas al anuncio público; la cifra subió a decenas de miles en los 45 minutos siguientes, a cientos de miles en dos horas y después a millones.

Varias webs gubernamentales de Europa y Asia se desconectaron por precaución. También lo hicieron Internet Archive y el operador de Wikipedia, que desactivaron varios sistemas. En Gran Bretaña, la oficina del primer ministro avisó de que algunos servicios públicos podían quedar fuera de línea el viernes. La primera ministra de Japón, Sanae Takaichi, pidió a los operadores aplicar el parche cuanto antes y, para quienes no pudieran, sugirió suspender temporalmente los sitios.

Hasta la tarde del jueves no se había confirmado ningún ataque exitoso. Dataminr describió una actividad limitada a escaneos, identificación de sistemas y exploits que no funcionan, aunque advirtió que era solo cuestión de tiempo que llegaran intrusiones logradas. Para el usuario común, el riesgo es colateral: sus datos y servicios esenciales dependen de que los sitios estén protegidos, y en los próximos días podría haber interrupciones en algunos negocios o servicios del Estado.