Un par de fallos críticos en PHP, el lenguaje de programación que ejecuta un estimado del 70% de los sitios web, desencadenó esta semana una carrera global de parcheo después de que investigadores demostraran que los errores podían dar a los atacantes el control de servidores sin contraseña.
Los fallos se encontraron usando modelos de OpenAI, junto con las firmas de seguridad Wiz y Calif. El grupo apodó al conjunto de errores PHP2Shell. Uno de los fallos había estado en el lenguaje durante 14 años.
Qué permite el fallo
Los atacantes podían tomar el control de los servidores web afectados sin autenticación y leer memoria que podría contener contraseñas y datos de sesión. Debido a que PHP está detrás de WordPress, Drupal y una larga lista de sitios personalizados, la exposición alcanza a hospitales, minoristas y portales gubernamentales, no solo a empresas tecnológicas.
Wiz comparó la gravedad con Heartbleed, el error de cifrado de 2014 que expuso datos en gran parte de la web. Los investigadores dijeron que el fallo es lo suficientemente difícil como para situarse en el límite de lo que los analistas humanos podrían explotar, y fácil para un agente de IA que puede ejecutar pasos de ataque por sí solo.
Quién pidió a las organizaciones actuar
La Agencia de Seguridad Nacional de EE. UU. y la agencia de ciberseguridad de la Unión Europea aconsejaron parchear de inmediato. Ambos dijeron que los sistemas que no puedan actualizarse rápidamente deberían desconectarse. Algunos sitios gubernamentales europeos hicieron exactamente eso, y partes de sus servicios públicos quedaron inactivos durante un día.
El director de tecnología de Cloudflare, Dane Knecht, dijo que la empresa vio intentos de ataque tempranos antes de que el parche se hiciera público. OpenAI publicó una herramienta que los administradores pueden ejecutar para comprobar si una instalación está expuesta.
Por qué la divulgación fue apresurada
Los detalles se filtraron en línea esta semana, lo que obligó a los mantenedores de PHP a publicar el aviso y la actualización antes de lo previsto. Eso acortó la brecha entre la advertencia y la explotación, que es la brecha en la que más confían los defensores.
El episodio tiene dos caras. La IA encontró un error que años de revisión humana pasaron por alto, y la misma capacidad puede ayudar a los atacantes a escribir exploits más rápido. Los equipos de seguridad ahora enfrentan una prueba simple: parchear o desconectar.