Las consecuencias de la vulnerabilidad PHP2Shell se han convertido en una de las respuestas de emergencia coordinadas más grandes de Internet en años, con gobiernos desconectando sitios web como medida de precaución y empresas de seguridad informando de millones de intentos de explotación contra sitios web que ejecutan el lenguaje de programación PHP, que sustenta aproximadamente el 70 por ciento de los sitios del mundo.
Millones de intentos de explotación en cuestión de horas Para más contexto sobre esta historia, consulta nuestra actualidad de inteligencia artificial.
Según The Guardian, el director ejecutivo de Cloudflare, Matthew Prince, dijo que su empresa registró decenas de miles de intentos de explotación en los primeros 45 minutos después de que la vulnerabilidad se hiciera pública, aumentando a cientos de miles en dos horas y a "millones ahora". Cloudflare también informó haber visto miles de intentos en las 10 horas previas a que se anunciara públicamente la falla, un detalle que ha alimentado la preocupación sobre cómo se manejó la divulgación.
Amazon Threat Intelligence dijo que PHP2Shell "ahora está siendo ampliamente explotado en la naturaleza" y que identificó varios intentos de múltiples actores para encontrar formas de capitalizar la vulnerabilidad incluso antes de que los desarrolladores de PHP publicaran la solución el miércoles. El profesor de seguridad Alan Woodward de la Universidad de Surrey dijo al periódico que la falla fue revelada un día antes de que el parche estuviera disponible, diciendo que "alguien dejó salir al gato de la bolsa".
Los gobiernos desconectan los sitios para parchearlos
La respuesta ha sido inusualmente drástica. En el Reino Unido, la ministra de ciberseguridad, Liz Lloyd, dijo al Parlamento que 32 servicios gubernamentales habían sido desconectados, y describió la medida como en gran medida preventiva mientras se aplicaban las actualizaciones. Downing Street dijo que ningún servicio crítico de cara al público se había visto afectado y que algunos servicios limitados podrían no estar disponibles temporalmente, pero enfatizó que esto no significaba que hubieran sido pirateados.
El Centro Nacional de Seguridad Cibernética del Reino Unido envió 50.000 alertas a las organizaciones afectadas y dijo que no había recibido informes de ataques exitosos. La agencia describió la magnitud de la vulnerabilidad como "sin precedentes" y advirtió que el parche no funcionará para algunas organizaciones que ejecutan sistemas más antiguos, que deberán reemplazarlos por completo. Los sitios supuestamente afectados por cortes temporales incluyeron el sitio web del programa Traitors de la BBC, Internet Archive, Wikipedia y 4Chan.
En Estados Unidos, la Agencia de Seguridad Nacional emitió una advertencia de que la falla podría permitir a los atacantes tomar el control de servidores web, robar datos confidenciales, interrumpir servicios y profundizar en las redes comprometidas. "Es probable que los ciberactores utilicen PHP2Shell como arma", dijo la agencia, añadiendo que los riesgos "son lo suficientemente serios como para requerir parches inmediatos en todos los departamentos y agencias del gobierno de Estados Unidos".
La respuesta de emergencia traspasó fronteras rápidamente. Corea del Sur activó medidas de respuesta de emergencia, elevó su nivel de alerta de ciberseguridad del sector privado y emitió directrices para decenas de miles de empresas. El Ministerio de Industria de China instó a las organizaciones a inspeccionar sus sistemas, actualizar a la última versión segura de PHP y cambiar contraseñas y claves. El Primer Ministro de Japón alentó a las empresas a corregir la vulnerabilidad o cerrar sus sitios.
Por qué PHP2Shell se considera histórico
Ciaran Martin, ex director ejecutivo del NCSC, describió la falla como "muy mala" y "la vulnerabilidad más grave descubierta en cinco años". Wiz, una de las organizaciones de investigación que descubrió la vulnerabilidad, ha dicho que posiblemente se encuentre entre las fallas de software más graves jamás descubiertas.
El origen de la vulnerabilidad es lo que la convierte en un hito para la seguridad de la IA. Según Wiz, los fallos subyacentes de PHP habían estado presentes durante décadas, pero demostrar que en realidad eran explotables requirió una cadena de pasos excepcionalmente compleja al borde de lo que los investigadores humanos podrían lograr prácticamente. "Los modelos de inteligencia artificial de Frontier redujeron sustancialmente esa barrera, convirtiendo una falla de larga data en un exploit", escribió la compañía en su blog.
La advertencia de la NSA se centra en lo que los atacantes podrían hacer con el acceso. El experto en infraestructura de Internet, Michał Woźniak, dijo a The Guardian que los actores hostiles podrían "apoderarse de los recursos" de los sitios expuestos, ya que los principales sitios web controlan valiosa potencia informática, servidores y direcciones IP. Los grupos criminales podrían anidar dentro de sitios comprometidos para lanzar ataques que no puedan rastrearse hasta ellos, mientras que los criptomineros podrían secuestrar servidores para ejecutar cálculos que consumen mucha energía de forma gratuita. En muchos casos, señaló, los propietarios de los sitios ni siquiera se darían cuenta del compromiso.
Una nota de precaución en medio de la alarma
No todo el mundo cree que el daño ya está hecho. Ryan Austin, investigador de la empresa de ciberseguridad Calif que fue clave para descubrir la falla, dijo a The Guardian que "por el momento no parece que la explotación haya despegado o se haya generalizado". Las Cámaras de Comercio Británicas dijeron que la interrupción aún no había causado dificultades significativas a las empresas del Reino Unido.
Sin embargo, el ex jefe del GCHQ, Sir David Omand, advirtió que los adversarios estatales, incluidos Rusia y China, podrían intentar explotar el error antes de que las defensas estén completamente establecidas, un recordatorio de que la ventana entre la divulgación y la remediación total es cuando Internet está más expuesta.
Qué deberían hacer ahora los operadores del sitio
Para las organizaciones que aún están expuestas, la orientación de las agencias es consistente: actualice inmediatamente a la última versión parcheada de PHP, verifique que los parches se hayan aplicado correctamente y, cuando los sistemas sean demasiado antiguos para aceptar la solución, aíslelos o reemplácelos. La advertencia del NCSC de que algunos sistemas heredados no pueden repararse en absoluto sugiere que la larga cola de esta vulnerabilidad persistirá mucho más allá de la emergencia actual.
El episodio también resuelve un debate sobre la investigación ofensiva asistida por IA. Lo que hace una semana era teórico ahora es un incidente global vivo: un sistema de inteligencia artificial encontró una manera de convertir en armas errores que permanecieron sin explotar durante décadas, y todos los gobiernos en Internet ahora pasan su semana limpiando.
---
Mantente al Día con la IALas últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.
Leer más noticias de IA →
