Dos vulnerabilidades críticas descubiertas hoy, ocultas durante más de una década en el código de PHP, el lenguaje de programación que sostiene a buena parte de los sitios web alrededor del mundo, podrían permitir que atacantes informáticos se apoderen de servidores, accedan a información confidencial y comprometan millones de sitios.

Las consecuencias del descubrimiento ya comenzaron a sentirse.

De acuerdo con Reuters, diversas instituciones europeas decidieron desconectar sus plataformas digitales para reducir su exposición mientras se preparaban las actualizaciones de seguridad.

En Países Bajos, el propio Centro Nacional de Ciberseguridad suspendió preventivamente su sitio web. También se registraron interrupciones en plataformas del puerto de Róterdam, servicios gubernamentales, hospitales y organizaciones públicas.

Finlandia adoptó medidas similares sobre servicios digitales estatales, mientras que Francia desconectó temporalmente portales administrativos locales.

La compañía danesa Kombit, encargada de servicios tecnológicos municipales, también informó la suspensión de algunas plataformas, entre ellas un sistema nacional de comunicación escolar.

Las decisiones respondieron a las recomendaciones de agencias de ciberseguridad de Europa, Reino Unido, Australia y Japón, que instaron a actualizar inmediatamente los servidores afectados o aislarlos cuando la instalación de los parches no fuera posible.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) llamó a las agencias gubernamentales y empresas a aplicar parches de inmediato o desconectar los sistemas vulnerables.

Cloudflare, una de las principales empresas de infraestructura de Internet, confirmó además la aparición de intentos iniciales de ataque y comenzó a actualizar sus reglas de protección.

El 21 de octubre, los responsables de PHP publicaron nuevas versiones para corregir las vulnerabilidades, poniendo a disposición de los administradores las actualizaciones necesarias.

¿Están en peligro todos los sitios creados con WordPress?

La respuesta depende principalmente de la versión de PHP que utilice el servidor y de si ya recibió las correcciones correspondientes.

WordPress es uno de los sistemas de gestión de contenidos más utilizados del planeta y funciona sobre PHP. Según las estimaciones citadas por Reuters, está presente en aproximadamente el 43% de todos los sitios web.

Sin embargo, que una página utilice PHP no significa que haya sido vulnerada ni que necesariamente pueda ser atacada con éxito.

Las condiciones técnicas del servidor, las versiones instaladas y las medidas de protección disponibles influyen en su exposición.

Existe, además, una diferencia fundamental entre actualizar WordPress y actualizar PHP.

Una instalación de WordPress puede mantener al día su núcleo, sus temas y todos sus complementos, pero al mismo tiempo continuar utilizando una versión vulnerable de PHP.

Por esa razón, Wordfence, una compañía especializada en seguridad para WordPress, advirtió que las actualizaciones automáticas de la plataforma no necesariamente solucionan estas fallas.

La corrección debe aplicarse en el entorno donde se ejecuta PHP, una tarea que habitualmente corresponde al administrador del servidor o al proveedor de alojamiento web.

Los especialistas recomiendan comprobar la versión instalada, consultar las instrucciones oficiales del proveedor y aplicar las actualizaciones de seguridad disponibles. Las protecciones temporales de los cortafuegos pueden reducir determinados riesgos, pero no sustituyen la corrección del software vulnerable.

Un punto de inflexión para la seguridad de Internet

El descubrimiento de PHP2Shell recuerda otros episodios que expusieron vulnerabilidades profundas en programas utilizados por millones de organizaciones.

Uno de ellos fue Heartbleed, descubierto en 2014, que permitió revelar información almacenada en la memoria de sistemas que utilizaban determinadas versiones de OpenSSL.

Otro fue Log4Shell, identificado en 2021, que afectó a una biblioteca de software ampliamente utilizada en aplicaciones empresariales.

Ambos casos demostraron que una falla en un componente relativamente invisible para el usuario puede comprometer servicios digitales de alcance mundial.

La diferencia de PHP2Shell radica en el protagonismo de la inteligencia artificial durante el descubrimiento y el análisis de las vulnerabilidades.

Durante años, encontrar errores de esta complejidad requería conocimientos especializados, grandes cantidades de tiempo y una investigación minuciosa.

Ahora, los sistemas avanzados de inteligencia artificial pueden contribuir a realizar parte de ese trabajo con mayor velocidad.

En su comunicado oficial, OpenAI sostuvo que esta situación representa un cambio significativo en la manera de descubrir y gestionar vulnerabilidades de gran alcance. La compañía advirtió que espera un aumento de hallazgos similares durante los próximos meses.