La fundación detrás del lenguaje de programación web, PHP, publicó un parche urgente de seguridad para corregir dos vulnerabilidades críticas que exponen a más del 40 % de los sitios en Internet. Ambas fallas, con una severidad de 9,2 sobre 10, permiten a un atacante ejecutar código a distancia y alterar páginas web en todas las versiones desde PHP 5 en adelante.
La NSA de Estados Unidos y el Centro Nacional de Seguridad Cibernética del Reino Unido pidieron a las organizaciones apagar sus sistemas si no logran instalar la actualización de inmediato. Esto ocurre porque la corrección no admite descargas automáticas, lo que obliga a intervenir los servidores de forma manual para instalar las siguientes versiones corregidas y seguras.
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Los errores de código permanecieron ocultos durante casi 20 años. La firma de seguridad Wiz dijo que aprovechar la falla requería una cadena de pasos demasiado complejos para un humano, pero el uso de modelos de inteligencia artificial facilitó el proceso para convertir el antiguo defecto en una amenaza real.
El alcance de PHP en el mundo
La consultora W3Techs comentó que este lenguaje de programación funciona en el 69,3 % de las webs. La cifra incluye a WordPress, cuya tecnología es vulnerable por defecto. La compañía Wordfence advirtió que los dueños de las páginas deben averiguar y contactar a quién administra el servidor para pedir que instalen la solución.
La publicación oficial del parche provocó interrupciones en grandes y conocidos sitios. Wikipedia, 4chan y DeviantArt presentaron problemas, mientras que agencias de gobierno de Países Bajos y Finlandia apagaron sus webs oficiales por precaución. Los juegos Pokémon Home y Pokémon Champions también suspendieron sus conexiones en línea.
