Gobiernos de Europa (Europe), Asia y otros lugares desconectaron algunos sitios web el miércoles, después de que dos fallos de seguridad recién revelados en PHP, un lenguaje de programación que impulsa buena parte de internet, motivaran una rara advertencia pública de la Agencia de Seguridad Nacional de Estados Unidos (National Security Agency).4,5
Los fallos, bautizados PHP2Shell, fueron descubiertos con ayuda de modelos de inteligencia artificial, según Al Jazeera. Ambos dependen del acceso a partes de la memoria del ordenador sin autorización y de la explotación de ese acceso para ejecutar código malicioso. Al Jazeera informó de que un atacante podría ejecutar comandos de forma remota en un servidor que utiliza código PHP antiguo a través de internet, sin contraseña ni cuenta legítima. La Fundación PHP (The PHP Foundation), una organización sin ánimo de lucro que apoya el lenguaje, publicó una solución para las versiones más recientes el miércoles por la tarde.4,5
La NSA recomendó a las organizaciones desconectar sus sistemas si no podían instalar la actualización de inmediato. “Efectivo de inmediato, se recomienda a todas las organizaciones que usan PHP en sus sistemas que se preparen para una actualización que aborda dos vulnerabilidades críticas”, indicó la agencia en una publicación en redes sociales. En otra publicación escribió: “Estas vulnerabilidades suelen proporcionar un acceso directo al sistema de archivos o a la base de datos del servidor”, según la BBC.4,5
Varios gobiernos europeos actuaron con rapidez. Finlandia (Finland) desactivó temporalmente los servicios web públicos de su gobierno, y el Ministerio Federal de Transformación Digital y Modernización Gubernamental (Federal Ministry for Digital Transformation and Government Modernisation) de Alemania (Germany) indicó que retiró algunos sitios web como medida preventiva. El Ministerio del Interior francés (Ministry of the Interior) desactivó los sitios web oficiales de las oficinas administrativas locales. Las autoridades de Bélgica (Belgium), los Países Bajos (Netherlands) y la República Checa (Czech Republic) también dijeron que habían cerrado sitios para aplicar un parche de seguridad. El Instituto Nacional de Salud Pública y Medio Ambiente (National Institute for Public Health and the Environment) retiró su sitio web, y el de la Tweede Kamer, la cámara baja del Parlamento neerlandés, quedó inaccesible.4,5
La interrupción llegó más allá del ámbito gubernamental. La Fundación Wikimedia (Wikimedia Foundation), que gestiona Wikipedia, dijo que estaba abordando las vulnerabilidades. “Hemos retirado varios otros sistemas como medida preventiva hasta que puedan parchearse de forma segura”, afirmó, y algunos usuarios no pudieron acceder a partes de Wikipedia el miércoles. El sitio web del ayuntamiento de Edimburgo (Edinburgh council) también quedó inaccesible, al igual que las páginas en línea de varios programas de la BBC, entre ellos Doctor Who y The Traitors. La BBC informó de que ninguna de las dos entidades había confirmado una relación con PHP y de que se había puesto en contacto con ellas para pedir comentarios. La plataforma artística DeviantArt dijo que estaba “temporalmente fuera de servicio por mantenimiento” sin dar un motivo.4
Las vulnerabilidades fueron halladas por investigadores de las empresas de seguridad Calif y Wiz. Calif, junto con la Fundación PHP, participó en un programa puesto en marcha por OpenAI llamado Patch the Planet, que le dio acceso a las herramientas avanzadas de IA de la compañía para encontrar y corregir fallos en lenguajes de desarrollo web. Al Jazeera informó de que Calif, trabajando con OpenAI, notificó el primer fallo el 11 de agosto, y de que Wiz, empresa de seguridad propiedad de Alphabet, notificó el segundo el 24 de agosto. OpenAI afirmó en una entrada de blog que el hallazgo era “uno de los problemas de seguridad más impactantes en la memoria reciente”, y la BBC informó de que un investigador interno de OpenAI también había encontrado el problema más o menos al mismo tiempo que las otras empresas.4,5
Wiz afirmó que los fallos eran “las vulnerabilidades más graves descubiertas jamás” por IA, y describió el papel de las herramientas de IA en su propia entrada de blog. “Los modelos de frontera fueron fundamentales para que este proceso fuera práctico, lo que nos permitió desarrollar y adaptar exploits funcionales en varias aplicaciones en cuestión de horas”, afirmó la empresa. Wiz dijo que los hallazgos “se encuentran entre las vulnerabilidades más graves descubiertas en PHP y, posiblemente, en la historia del software”. La BBC informó de que los fallos habían pasado desapercibidos durante más de una década, mientras que Al Jazeera dijo que las debilidades subyacentes llevaban décadas presentes.4,5
Las estimaciones del alcance del problema variaban según los informes. La BBC informó de que Wiz había calculado que “alrededor del 70 %” de internet se ve afectado, una cifra que la BBC dijo no poder verificar. Al Jazeera describió PHP como utilizado por más del 70 por ciento de los sitios web. Ninguno de los dos informes ofreció un recuento independiente de cuántos sitios ejecutaban versiones vulnerables del software.4,5
Los detalles de los fallos se filtraron en redes sociales el martes, según informó la BBC, lo que obligó a la Fundación PHP a adelantar el anuncio de las vulnerabilidades y de su alcance. La fundación tenía previsto publicar sus conclusiones a finales de este mes, junto con una solución completa. No se sabe si todas las versiones están afectadas. CERT-EU, el equipo de respuesta a emergencias informáticas de la Unión Europea (European Union), afirmó que los fallos podrían afectar a todas las versiones de PHP desde PHP 5, lanzada en 2004. La Fundación PHP ha publicado la actualización solo para las versiones más recientes, y se ha instado a quienes usan PHP 8.1 o versiones anteriores a actualizar.4
Los investigadores de seguridad describieron el riesgo en términos más amplios. Dane Knecht, director de tecnología de la empresa de infraestructura de internet Cloudflare, afirmó que estaba “viendo ataques tempranos que surgen y actualizando las mitigaciones a medida que aparecen nuevos vectores”. CERT-EU indicó que las puntuaciones de riesgo asignadas a las vulnerabilidades “indican la posibilidad de ejecución remota de código sin autenticación”. Don Smith, de la Unidad Contra Amenazas de Sophos (Sophos Counter Threat Unit), dijo a la BBC que PHP probablemente sería “un objetivo prioritario” para los hackers, y añadió que el desafío inmediato era localizar cada instancia en la que se ejecutaba PHP. “El uso de PHP está muy extendido: puede estar bajo sitios web públicos, sistemas de gestión de contenidos, plataformas de alojamiento y productos de terceros, a veces sin que resulte evidente para la organización que lo utiliza”, dijo.4
La Casa Blanca (White House) afirmó que las agencias federales trabajaban con los principales laboratorios de IA para acelerar una solución. La primera ministra japonesa, Sanae Takaichi, instó a la población a comprobar si sus sitios web públicos funcionaban con PHP. El Centro Nacional de Ciberseguridad del Reino Unido (National Cyber Security Centre), junto con sus homólogos de la UE y Australia, pidió a quienes usan PHP que apliquen las soluciones. “Cuando no sea factible una reparación inmediata, las organizaciones deberían considerar desconectar el sistema hasta que pueda mitigarse por completo”, indicó el NCSC en una nota.4,5
La Fundación PHP afirmó que las herramientas de IA harían más fáciles de encontrar este tipo de debilidades, y pidió a las empresas tecnológicas que organizaran una respuesta coordinada para evitar interrupciones importantes de los servicios en línea. “Las herramientas ahora encuentran errores más rápido que nunca, tanto para defensores como para atacantes, y el número de informes seguirá creciendo”, afirmó la fundación en un comunicado.5
