Contenidos
Agencias gubernamentales, empresas y organismos de todo el mundo desconectaron el miércoles sus sitios web tras conocerse dos vulnerabilidades en PHP, un lenguaje de programación que sostiene una gran parte de internet. Las fallas, consideradas críticas, se detectaron con ayuda de inteligencia artificial. Además, sus detalles se filtraron antes de que la corrección estuviera lista. La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió aplicar los parches de inmediato o desconectar los sistemas vulnerables.
Qué permiten las vulnerabilidades en PHP
Según la NSA, estas fallas «a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor». En la práctica, un atacante podría tomar el control de un servidor web sin necesidad de contraseña. El Equipo de Respuesta a Emergencias Informáticas de la UE (CERT-EU) indicó que las puntuaciones de riesgo «indican el potencial de ejecución remota de código sin autenticación». Un ataque así permitiría instalar software malicioso y sabotear sitios.
El alcance es amplio. Se estima que el lenguaje está detrás de aproximadamente el 70 % de los sitios web del mundo. PHP sirve de base a WordPress, Drupal, Joomla, Magento, PrestaShop y WooCommerce. Así, las vulnerabilidades en PHP pueden afectar desde tiendas en línea y medios hasta servicios públicos.
Todavía no está claro qué versiones están afectadas. Sin embargo, el CERT-EU advirtió que podrían estarlo todas desde PHP 5, lanzada en 2004. La Fundación PHP publicó la actualización solo para las versiones más recientes, y se insta a quienes usan PHP 8.1 o anteriores a actualizar. En tanto, el riesgo no implica que todas las páginas estén comprometidas: depende de la versión, la configuración del servidor y la rapidez de cada administrador.
Gobiernos, hospitales y Wikipedia, fuera de línea
En Finlandia, el gobierno cerró temporalmente los servicios web públicos. Por otra parte, la agencia de ciberseguridad de Países Bajos anunció que desconectaría su propio sitio. La web del ayuntamiento de Edimburgo también quedó inaccesible. También cayeron las plataformas en línea de varios programas de la BBC, entre ellos Doctor Who y The Traitors.
En Reino Unido, las autoridades informaron que 32 servicios gubernamentales estaban fuera de servicio. No obstante, atribuyeron buena parte de las interrupciones a decisiones preventivas. Tampoco confirmaron que todos los casos estuvieran ligados a una explotación de las fallas. En Alemania, el Hospital Universitario Charité de Berlín retiró su página como precaución. Numerosas administraciones públicas, universidades y hospitales alemanes hicieron lo mismo.
La Fundación Wikimedia, que gestiona Wikipedia, también actuó. «Hemos desactivado otros sistemas como medida de precaución hasta que puedan ser actualizados de forma segura», explicó en un comunicado. Como resultado, algunas personas no pudieron acceder a partes de la enciclopedia el miércoles. En Japón, la primera ministra Sanae Takaichi pidió en X comprobar si los sitios web públicos funcionaban con PHP.
La respuesta de las agencias de ciberseguridad
La Oficina Federal de Seguridad en las Tecnologías de la Información de Alemania (BSI) instó a los operadores a instalar las actualizaciones de inmediato. «Consideramos probable que se produzca un aprovechamiento a gran escala y a corto plazo, en las pocas horas siguientes a la publicación de las actualizaciones de seguridad», dijo Thomas Caspers, vicepresidente de la BSI.
El Centro Nacional de Ciberseguridad de Reino Unido (NCSC) fue en la misma línea ante las vulnerabilidades en PHP. «Cuando no sea factible una solución inmediata, las organizaciones deberían considerar la posibilidad de desconectar el sistema hasta que el problema pueda solucionarse por completo», señaló. Además, organismos de la Unión Europea, Australia, Japón y Países Bajos emitieron advertencias similares.
Mientras tanto, la Casa Blanca afirmó que las agencias federales trabajaban con los principales laboratorios de IA para acelerar la solución. En Reino Unido, el secretario de Estado para la IA, Kanishka Narayan, informó que el gobierno usó sistemas de IA para encontrar 500 nuevas vulnerabilidades en «áreas importantes del sector público».
La inteligencia artificial detrás de las vulnerabilidades en PHP
Las fallas fueron reportadas en agosto. La firma de seguridad Calif y OpenAI, creadora de ChatGPT, las señalaron de forma independiente el mismo día. Luego, Wiz, una empresa de seguridad en la nube propiedad de Google, informó de más formas de explotarlas. Calif las halló durante una auditoría de código financiada por OpenAI. Según estas empresas, los errores habían pasado inadvertidos durante más de una década.
Wiz calificó el hallazgo como las «vulnerabilidades más graves jamás descubiertas» por la IA. «Los modelos de vanguardia fueron fundamentales para que este proceso fuera práctico, permitiéndonos desarrollar y adaptar exploits funcionales en múltiples aplicaciones en cuestión de horas», agregó. Por su parte, OpenAI habló de «uno de los problemas de seguridad con mayor impacto de los últimos tiempos». También sostuvo que las fallas «marcan una nueva fase, donde la IA puede encontrar fallos de seguridad con un impacto en toda la internet».
Los investigadores describieron el método de ataque como «una compleja cadena de pasos, al límite de lo que los investigadores humanos podrían lograr en la práctica». OpenAI advirtió, sin embargo, que esas capacidades también podrían ayudar a los atacantes. El caso llega en medio de un auge de divulgaciones impulsado por la IA. De seguir la tendencia, las vulnerabilidades detectadas en 2026 podrían duplicar el récord del año pasado.
El proyecto ya tenía antecedentes. En 2024, PHP pasó su primera auditoría externa de seguridad «en años», y un desarrollador detectó indicios de un problema cuya solución se demoró meses. En 2026, la Fundación PHP amplió su equipo de seguridad. Además, empezó a trabajar con el proyecto Alpha-Omega y con herramientas como Claude Mythos, de Anthropic, y Daybreak Red, de OpenAI.
Una filtración que precipitó la urgencia
Las fallas se comunicaron en privado a los desarrolladores y se mantuvieron en secreto mientras se preparaba una corrección. Según la Fundación PHP, la «divulgación coordinada de estas vulnerabilidades funcionó correctamente» hasta hace dos días. Entonces alguien filtró detalles básicos en línea, un día antes del lanzamiento previsto. Después, según la fundación, Calif publicó por error un video sobre el ataque.
«El problema con herramientas como la IA es que, en cuanto toda la información se hace pública, la gente puede usarla como arma con extrema rapidez», afirmó Steve Kerrison, de la Universidad James Cook. Matthew Prince, director ejecutivo de Cloudflare, dijo que la empresa detectó millones de intentos de explotación. En tanto, su director de tecnología, Dane Knecht, aseguró estar «observando la aparición de ataques tempranos». En cambio, Dimitrios Salampasis, de la Universidad Tecnológica de Swinburne, señaló que no se han detectado ataques activos con las técnicas disponibles.
Qué hacer frente a las vulnerabilidades en PHP
La prioridad es instalar las versiones corregidas y revisar los componentes relacionados. Don Smith, experto de Sophos, explicó que el reto es encontrar todas las instancias donde se ejecuta PHP. «El uso de PHP es generalizado; puede estar presente en sitios web públicos, sistemas de gestión de contenido, plataformas de alojamiento y productos de terceros, a veces sin que la organización que lo utiliza se dé cuenta», dijo. También pidió vigilar señales de que un atacante «ya podría haber logrado afianzarse».
Por otra parte, el NCSC recomendó supervisar las actualizaciones de proveedores externos que puedan incluir PHP. Rahat Masood, de la Universidad de Nueva Gales del Sur, advirtió que con interfaces de terceros «incluso si se han aplicado parches… se sigue siendo vulnerable». Kerrison alertó que algunos sitios ignorarán las vulnerabilidades en PHP «durante días, semanas o incluso meses». Salampasis aclaró que desconectar un sitio no significa que haya sido hackeado. Los usuarios, a su vez, deben desconfiar de mensajes que pidan contraseñas o datos bancarios.