Agencias de ciberseguridad instaron a aplicar parches en el lenguaje de programación PHP tras el hallazgo de dos vulnerabilidades que afectarían al 70% de internet. Organismos oficiales y sitios web como la BBC y Wikipedia suspendieron servicios temporalmente.
Gobiernos y agencias internacionales han instado a los sitios web a solucionar dos fallas críticas de ciberseguridad en el lenguaje de programación PHP, que impulsa gran parte de internet. Según estimaciones difundidas por la BBC, el 70 por ciento de la red resultó afectado.
Las vulnerabilidades se encontraron en PHP y la solución se publicó el miércoles por la tarde, informó la BBC. Varias agencias de ciberseguridad recomendaron a las organizaciones que no puedan aplicar las soluciones a tiempo que consideren cerrar sus sitios web. Esto llevó a que entidades como el gobierno finlandés, el ayuntamiento de Edimburgo y la BBC desconectaran sus páginas.
Las fallas fueron descubiertas por inteligencia artificial. La empresa de ciberseguridad Wiz afirmó que se trataba de las «vulnerabilidades más graves jamás descubiertas» por esta tecnología.
Finlandia cerró temporalmente los servicios web públicos del gobierno, mientras que la agencia de ciberseguridad de los Países Bajos anunció que desconectaría su propio sitio web debido a las vulnerabilidades.
La Agencia de Seguridad Nacional de Estados Unidos emitió un consejo similar a través de X para que las organizaciones desconectaran sus sistemas si no podían actualizarlos con la solución. «Estas vulnerabilidades suelen proporcionar una vía directa al sistema de archivos o a la base de datos del servidor», indicaba el informe.
La Casa Blanca afirmó que las agencias federales trabajaban con los principales laboratorios de IA para acelerar la solución del problema. En una publicación en X, la primera ministra de Japón, Sanae Takaichi, instó a la población a comprobar si sus sitios web públicos funcionaban con PHP.
La Fundación Wikimedia, que gestiona Wikipedia, declaró que estaba abordando las vulnerabilidades de seguridad. «Hemos desactivado otros sistemas como medida de precaución hasta que puedan ser actualizados de forma segura», decía el comunicado. Esto provocó que algunas personas no pudieran acceder a ciertas partes de Wikipedia el miércoles.
El sitio web del ayuntamiento de Edimburgo también se volvió inaccesible, al igual que las páginas web de varios programas de la BBC, entre ellos Doctor Who y The Traitors. Otros sitios web, incluida la plataforma de arte DeviantArt, indicaron que estaban «temporalmente fuera de servicio por mantenimiento» sin especificar el motivo.
Las vulnerabilidades fueron descubiertas por investigadores de ciberseguridad de las empresas Calif y Wiz. Calif, junto con la Fundación PHP, formaron parte de un programa iniciado por OpenAI llamado Patch the Planet. A través de ese programa, se les dio acceso a las herramientas avanzadas de inteligencia artificial de la empresa para encontrar y corregir fallos en el lenguaje de desarrollo web.
OpenAI afirmó en una publicación de blog que el descubrimiento fue «uno de los problemas de seguridad más importantes de los últimos tiempos». Añadió que un investigador interno de la compañía también había descubierto el problema casi al mismo tiempo que las demás empresas.
Las fallas habían pasado desapercibidas durante más de una década. En agosto, tras unas semanas de utilizar herramientas avanzadas de IA, fueron descubiertas. «Los modelos de vanguardia fueron fundamentales para que este proceso fuera práctico, permitiéndonos desarrollar y adaptar exploits funcionales en múltiples aplicaciones en cuestión de horas», dijo Wiz en una publicación de blog.
Se estima que «aproximadamente el 70%» de internet está afectado, aunque la BBC no ha podido verificar esa cifra.
Aunque la Fundación PHP tenía previsto publicar su descubrimiento a finales de este mes junto con una solución completa al problema, los detalles del fallo se filtraron en las redes sociales el martes. Esto obligó a la Fundación PHP a apresurarse a anunciar la vulnerabilidad y su magnitud.
El Instituto Nacional de Salud Pública y Medio Ambiente de los Países Bajos, organismo dependiente del gobierno neerlandés, retiró su página web. Del mismo modo, la página web de la Tweede Kamer, la cámara baja del parlamento nacional, se volvió inaccesible.
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC), así como sus homólogos en la UE y Australia, instaron a quienes utilizan PHP a aplicar las correcciones.