El martes se anunció el descubrimiento de dos vulnerabilidades críticas en PHP, un lenguaje de programación que está presente en el 70% de los sitios web. También es el fundamento de WordPress, la plataforma en base a la cual funciona el 40% de los sitios. El miércoles los desarrolladores de PHP lanzaron parches para corregir estos defectos. Le pidieron a los usuarios que hicieran una actualización lo más pronto posible. Desde entonces compañías y organizaciones se han apurado a verificar el estado de sus infraestructuras, tomar medidas de emergencias e implementar los arreglos.
Correcciones y tiempos
Los defectos en PHP no son nuevos, han estado presentes desde hace años pero nadie los había detectado hasta ahora. El 11 de agosto la firma de seguridad Calif junto a OpenAI descubrieron la primera de las vulnerabilidades utilizando GPT-5.6. Wiz, la compañía de seguridad de Alphabet encontró ese mismo error y un segundo el 24 de agosto. Los desarrolladores han tenido un buen tiempo para encontrar una solución y ya la han distribuido.
El problema es que los detalles de las vulnerabilidades fueron hechos públicos antes de que los parches estuvieran listos. Aún antes de que los desarrolladores de PHP hablaran del futuro parche. El margen de tiempo no ha sido amplio, pero suficiente para que criminales con acceso a sistemas de inteligencia artificial desarrollaran mecanismos de ataque. Compañías de seguridad en todo el mundo han detectado un incremento sustancial en el número de ataques.
Mathew Prince, CEO de Cloudflare, señaló el miercoles: “En las 10 horas previas al anuncio público en las redes descubrimos miles de intentos de aprovechar las vulnerabilidades. En los 45 minutos posteriores encontramos decenas de miles, cientos de miles pasadas dos horas y millones ahora”. Hay reportes de agresores intentando aprovechar las vulnerabilidades desde el 17 de octubre (sábado).
El caos
Las actualizaciones deberían dejar a salvo a cualquier empresa que las implemente. El problema es que para muchas pequeñas compañías el precio podría demorar el cambio. También hay organizaciones con sistemas complejos que no pueden hacer una actualización de un día para el otro.
Algunas empresas, como la telefónica Orange de Francia, eligieron suspender los acceso a sus sitios web con PHP de forma temporal. Otras, como la proveedora de servicio de IT Valtori, de Finlandia, tomó medidas de precaución que fue desactivando a medida que instalaba parches.
Muchas compañías han advertido que restaurar todos sus servicios puede llevar días o incluso semanas.
Ahora, pensemos que pasaría si los que descubren este tipo de vulnerabilidades son los criminales.
