Se detectan graves fallas de seguridad: países de todo el mundo cierran páginas web

Las agencias gubernamentales y las empresas privadas de varios continentes desconectaron los sitios web el miércoles luego de la revelación de dos vulnerabilidades de seguridad críticas en PHP, un lenguaje de programación que soporta una parte sustancial de la infraestructura global de la web. El cierre inmediato de los servicios digitales se produjo después de que los detalles sobre las fallas se filtraron públicamente el martes, lo que provocó medidas defensivas de emergencia antes del lanzamiento oficial de un parche.

Las vulnerabilidades permiten a los atacantes obtener acceso no autorizado a los archivos o bases de datos del servidor y ejecutar código remoto sin autenticación, lo que representa una grave amenaza para sistemas que van desde tiendas minoristas en línea y portales de noticias hasta servicios estatales esenciales. La Agencia de Seguridad Nacional de EE.UU. emitió una rara directiva pública instando a las organizaciones a parchear los sistemas vulnerables inmediatamente o eliminarlos de la red. En una declaración publicada en la plataforma de medios sociales X, la agencia señaló que los defectos a menudo proporcionan una vía directa al sistema de archivos o base de datos del servidor. Los atacantes podrían explotar estas lagunas para tomar el control de los servidores web sin requerir contraseñas.

La NSA aconsejó a todas las entidades que utilizan PHP que se preparen para una actualización que aborde las dos vulnerabilidades críticas con efecto inmediato. Otros organismos, entre ellos el Equipo de Respuesta a Emergencias Informáticas de la Unión Europea y el Centro Nacional de Seguridad Cibernética del Reino Unido, emitieron alertas similares recomendando la identificación de los sistemas afectados y la instalación de actualizaciones. 2 en una escala de diez, su nivel más alto de importancia. Las vulnerabilidades, denominadas colectivamente PHP2Shell, fueron identificadas con la ayuda de modelos avanzados de inteligencia artificial. Wiz estimó que PHP alimenta aproximadamente el 70 por ciento de los sitios web en todo el mundo.

La firma describió los descubrimientos como clasificados entre las vulnerabilidades más graves encontradas en PHP, y posiblemente en la historia del software. Aunque las fallas de código subyacentes habían existido durante décadas, Wiz declaró que demostrar su explotabilidad requería una compleja secuencia de pasos cerca del límite de lo que los investigadores humanos podían lograr prácticamente. Los voluntarios que mantienen el lenguaje PHP lanzaron una corrección el miércoles. La Fundación PHP, una organización sin fines de lucro que financia a los desarrolladores que trabajan en el lenguaje, instó a los usuarios a actualizar sus sistemas de inmediato. En su blog, la fundación declaró que la actualización es imperativa para cualquiera que ejecute PHP.

Volker Dusch, un ingeniero de seguridad de la Fundación PHP, dijo al Wall Street Journal que esto representa el problema más grave que PHP ha enfrentado en más de una década. Comparó la situación con Heartbleed, un error de seguridad de 2014 que desencadenó una carrera global para parchear sistemas. La filtración de detalles técnicos el martes aceleró la respuesta a la crisis. Antes de la filtración, los desarrolladores habían sido notificados de manera confidencial, y la información permaneció en secreto mientras se desarrollaba el parche. La exposición prematura obligó a los gobiernos a actuar preventivamente.

En Francia, el Ministerio del Interior anunció que los sitios web del gobierno local, incluido el sitio de la policía de París, se volvieron inaccesibles el miércoles por la tarde a petición de la Agencia Nacional de Ciberseguridad francesa. En los Países Bajos, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes e incluso el sitio del Centro Nacional de Ciberseguridad se desconectaron como precaución, según la emisora pública holandesa NOS. El Ministerio Federal de Transformación Digital y Modernización del Gobierno de Alemania confirmó que había desconectado ciertos sitios web como medida preventiva.

La Oficina Federal Alemana de Seguridad de la Información advirtió que las vulnerabilidades representaban una amenaza para las aplicaciones web a nivel mundial. Los informes indicaron que numerosas administraciones públicas, universidades y hospitales en Alemania eliminaron sus páginas de Internet. En Bélgica, el Ministerio de Relaciones Exteriores desactivó temporalmente sus sitios web, aunque el centro nacional de ciberseguridad no informó de ataques registrados en sitios belgas. El gobierno checo también suspendió sus sitios web para implementar medidas de protección. au sitio estaba entre las páginas gubernamentales afectadas por los defectos. El primer ministro de Japón, Sanae Takaichi, publicó en las redes sociales para advertir a los ciudadanos sobre el riesgo del PHP.

Las autoridades de Finlandia también confirmaron que habían cerrado sitios web específicos para aplicar el parche de seguridad. El incidente destaca una tendencia más amplia en la seguridad del software, donde los modelos de IA cada vez más capaces están descubriendo vulnerabilidades a un ritmo rápido. Se prevé que el número de vulnerabilidades descubiertas en 2026 sea aproximadamente el doble del total récord del año anterior. OpenAI caracterizó el error como una de las vulnerabilidades más impactantes en la memoria reciente, afirmando que marca una nueva fase en la que la IA puede identificar errores de seguridad con impacto a escala de Internet.

Ethan Mollick, profesor de la Escuela Wharton de la Universidad de Pensilvania que estudia la inteligencia artificial, observó que las empresas están luchando para mantener el ritmo con la velocidad requerida para instalar parches de seguridad contra los ataques cibernéticos impulsados por IA. Señaló que es probable que los consumidores se enfrenten a demandas frecuentes y urgentes de actualizaciones del sistema en el futuro. La dependencia generalizada de PHP significa que el impacto potencial se extiende mucho más allá de los sectores gubernamentales, afectando a las entidades comerciales y a los usuarios individuales que dependen del lenguaje para su presencia digital.

La respuesta global coordinada subraya la naturaleza crítica de las fallas y el papel cada vez mayor de las herramientas automatizadas tanto en el descubrimiento como en la explotación de las debilidades del software.