Autores: Daniel Dominguez Gómez-Isabel Izzillo
Php es un lenguaje de programación utilizado en alrededor del 70% de páginas webs a nivel mundial, desde tiendas online hasta portales gubernamentales y administraciones públicas.
La crisis fue descubierta por una IA, estas vulnerabilidades llevaban décadas alojadas en el código PHP, pero al ser tan complejas de descifrar para la mente humana que han sido algunos modelos de IA (como GPT-5.6 Sol de OpenAI) los que los han detectado y han demostrado cómo se podrían ejecutar. Este descubrimiento por parte de la Inteligencia Artificial demuestra la capacidad de la misma para auditar el código, pero también su uso por hackers para localizar fallos y ejecutarlos de manera masiva.
Esta brecha de seguridad afectaría a varios aspectos de las páginas web que usan ese código abierto (Open Source). Normalmente para poder entrar el servidor sería necesario conocer la contraseña, sin embargo este fallo daría acceso total sin contraseña.
Al disponer de acceso total el atacante podría convertirse en el administrador total de la web, modificando la web a su antojo, publicando información falsa o promoviendo mensajes sin ningún tipo de control.
El principal problema de las webs oficiales, administraciones y tiendas online deriva en la exposición de todas sus bases de datos, en estas bases de datos se encuentran los datos más comprometidos como pueden ser contraseñas, códigos de acceso a cuentas bancarias o ficheros privados almacenados en estas webs empresariales o institucionales.
Los equipos conectados a la red interna que no usan directamente Internet tampoco están a salvo de esta amenaza, ya que al entrar en un servidor este les sirve de trampolín para infectar otros ordenadores o bases de datos internas, además de modificar el código de la web para que cualquiera que visite esta web pueda descargarse un virus y acaben expuestos también sus datos bancarios o otras informaciones sensibles.
Esta emergencia global de ciberseguridad ha hecho que se pronuncien los organismos oficiales de inteligencia, agencias de ciberseguridad y gobiernos lanzando alertas urgentes y directrices de cumplimiento obligatorio para mantener protegidas sus infraestructuras.
La directriz más recomendada es que en caso de no poder parchear en horas esta brecha de seguridad, la decisión más segura es desconectar la web preventivamente.
Los países más desconectados:
Países Bajos ha sido el país más precavido, el propio Parlamento amaneció este 21 de octubre completamente desconectado, además de la sede electrónica del mismo país y varios servicios públicos y de emergencias.
Luxemburgo desconectó la Cámara de Diputados, el portal oficial de la Ciudad de Luxemburgo y la CSSF (el regulador de los mercados y del sector financiero ).
Canadá puso fuera de línea, los ministerios y aplicaciones móviles de servicios públicos.
La Casa Blanca aprovechó la ocasión para emitir un comunicado y confirmar que estaban rastreando la amenaza, y argumentó la necesidad de liderar la “Superinteligencia” para defenderse frente al cibercrimen.
En nuestro país las páginas web institucionales más sensibles, como la agencia tributaria, seguridad social o policía nacional) no utilizan este código estándar por lo que las webs afectadas han sido a nivel Local; ayuntamientos y diputaciones pr ovinciales además de Universidades públicas. La tensión principalmente se ha concentrado en las PYME y el comercio electrónico, ya que las herramientas más utilizadas son PrestaShop y WooCommerce que si estarían impulsadas por PHP.
Todos ellos han tenido que salir a aclarar que la desconexión de estas webs y aplicaciones se hizo de manera preventiva y que aún no se había sufrido ninguna vulneración de la seguridad ni filtrado de datos.
