Fallos críticos en PHP provocan alertas en la UE y EE. UU., y sitios europeos quedan fuera de línea
En breve
Dos vulnerabilidades de seguridad en el lenguaje de programación PHP, ambas con una puntuación de 9,2 sobre 10, permiten a atacantes ejecutar código en servidores sin iniciar sesión. PHP publicó las correcciones el 21 de octubre, un día antes de lo previsto, mientras las autoridades de la UE y de EE. UU. instaban a los operadores a actualizar o a desconectar sus sitios, y algunos sitios web de gobiernos europeos fueron bloqueados.
Leer la noticia completa 3 min de lectura
Una vulnerabilidad crítica de seguridad en el lenguaje de programación PHP provocó alertas en varios países, según informaron medios coreanos los días 21 y 22 de octubre. PHP anunció que publicaría parches de seguridad para dos vulnerabilidades a las 23:00 hora de Corea del 21 de octubre. Indicó que ambas tenían una puntuación de 9,2 sobre 10 según el estándar CVSS v4.0 e instó con firmeza a los usuarios a actualizar en cuanto se publicaran los parches. Chosun Ilbo informó de que los desarrolladores publicaron una corrección de emergencia el 21 de octubre, hora local. [ 1 , 2 , 3 , 7 , 9 ]
Los fallos, denominados PHP2Shell, permiten ejecutar comandos en un servidor sin cuenta ni contraseña, según AI Times. La autoridad europea de ciberseguridad dijo en un aviso emitido el 20 de octubre que la puntuación indica ejecución remota de código sin autenticación. La empresa de alojamiento web GoDaddy advirtió de que esto puede provocar robo de datos, desfiguración de sitios web o el control total de un sistema. CERT-EU dijo que los usuarios deben estar listos para actualizar de inmediato y considerar desconectar los sitios web si no se puede aplicar el parche, informó Reuters. [ 1 , 9 ]
En EE. UU., la Agencia de Seguridad Nacional dijo en X que todas las agencias y empresas que usan PHP deben prepararse para actualizar y, si no pueden hacerlo de inmediato, desconectar sus sistemas hasta que la vulnerabilidad quede completamente resuelta, informó Asia Economy, citando al Wall Street Journal. El FBI también instó a los operadores que no puedan actualizar de inmediato a desconectar sus sitios web. AI Times dijo que el Gobierno estadounidense ayudaba a las agencias federales y a las infraestructuras clave a aplicar el parche junto con empresas tecnológicas. [ 6 , 9 , 10 ]
En Europa, los sitios fueron desconectados como medida preventiva. AI Times informó de que en los Países Bajos se vieron afectados el portal del Gobierno, el puerto de Róterdam, la federación de fútbol, los principales partidos políticos y varios hospitales. Más de 100 municipios, gobiernos provinciales y autoridades de aguas que usan el servicio de un proveedor de software también resultaron afectados, según la agencia de noticias ANP. Dinamarca, Finlandia, Alemania y Francia bloquearon temporalmente sitios gubernamentales. Alemania y Finlandia calificaron las medidas de preventivas, y Finlandia dijo que no respondía a intentos de explotación ni a una filtración de datos. Asia Economy añadió a Bélgica y la República Checa. [ 9 , 10 ]
Según AI Times, Calif usó GPT-5.6 Sol, de OpenAI, para encontrar el fallo y lo notificó en agosto. Wiz, una unidad de Alphabet según AI Times, lo confirmó de forma independiente con sus propias herramientas de IA, Gemini 4 Argon de Google y GPT-5.6 Sol. Wiz afirmó que el fallo llevaba más de diez años en el código de PHP. Un cofundador de Wiz dijo al Wall Street Journal que era la vulnerabilidad más grave encontrada hasta la fecha por una IA. PHP Foundation dijo que en 2024 vio indicios de un fallo, pero no pudo identificar una vía de ataque, y calificó esto de fallo estructural. [ 7 , 9 ]
Los desarrolladores de PHP adelantaron la publicación un día después de que se filtraran en internet los detalles de los fallos. Reuters informó de la preocupación de que los piratas informáticos puedan usar la IA para analizar la corrección y descubrir rápidamente métodos de ataque antes de que terminen las actualizaciones. Cloudflare dijo haber observado algunos intentos iniciales, mientras que la CISA no había confirmado la explotación en el momento del informe de AI Times. Chosun Ilbo informó de que los usuarios comunes no necesitan instalar nada y de que los desarrolladores de PHP dijeron que cambiar algunos ajustes por sí solo no puede resolver el problema por completo. [ 7 , 9 ]
Por qué importa
Según AI Times, PHP se usa en alrededor del 70 % de los sitios web cuyo lenguaje de servidor puede identificarse, por lo que un solo fallo puede exponer muchos sitios a la vez. Los medios señalan que la propia corrección podría ayudar a los atacantes, lo que hace importante la rapidez con que los operadores actualicen.
Datos clave
- PHP anunció que publicaría parches de seguridad para dos vulnerabilidades a las 23:00 hora de Corea del 21 de octubre; ambas tenían una puntuación de 9,2 sobre 10 en la escala CVSS v4.0. [ 1 ]
- Los fallos, denominados PHP2Shell, permiten ejecutar comandos en un servidor sin cuenta ni contraseña, informó AI Times. [ 9 ]
- CERT-EU y la autoridad europea de ciberseguridad instaron a prepararse para actualizar de inmediato y a desconectar los sitios vulnerables si no se puede aplicar la actualización. [ 1 ]
- La Agencia de Seguridad Nacional (NSA) y el FBI de EE. UU. instaron a los operadores que no puedan actualizar de inmediato a desconectar sus sistemas, informó Asia Economy, citando al Wall Street Journal. [ 10 ]
- Sitios web de gobiernos y de otras instituciones en los Países Bajos, Dinamarca, Finlandia, Alemania y Francia fueron desconectados o bloqueados, informó AI Times. [ 9 ]
- La empresa de seguridad Calif encontró el fallo utilizando GPT-5.6 Sol, de OpenAI, y lo notificó a los desarrolladores; Wiz, una empresa de seguridad vinculada a Google, lo encontró por separado. [ 7 , 9 ]
- Los desarrolladores de PHP adelantaron la publicación del 22 de octubre al 21 de octubre después de que se filtrara información sobre los fallos en internet. [ 7 , 9 , 10 ]
Confirmado por varias fuentes
- Los desarrolladores de PHP publicaron una corrección de seguridad el 21 de octubre, un día antes de la fecha prevista del 22 de octubre. [ 7 , 9 , 10 ]
- El fallo permite a un atacante ejecutar código malicioso en un servidor sin iniciar sesión. [ 1 , 7 , 9 , 10 ]
- Las autoridades de la UE y de EE. UU. instaron a los operadores que no puedan actualizar de inmediato a desconectar los sistemas afectados. [ 1 , 6 , 10 ]
- Algunos sitios web de gobiernos europeos fueron desconectados o bloqueados como medida preventiva mientras se aplicaban las actualizaciones. [ 4 , 7 , 9 , 10 ]
- Calif encontró el fallo con GPT-5.6 Sol, de OpenAI, y Wiz lo encontró de forma independiente. [ 7 , 9 , 10 ]
Aún sin aclarar
- Qué porcentaje de sitios web usa PHP. Las piezas de Yonhap citan «hasta el 70 %», «más del 70 %» y «más del 75 %»; AI Times dice que alrededor del 70 % de los sitios cuyo lenguaje de servidor puede identificarse; Asia Economy dice 70 %.
- Si los fallos están siendo explotados y cuánto daño han causado. Cloudflare dijo haber observado algunos intentos iniciales y Asia Economy informó de algunos intentos de piratería, pero la CISA no había confirmado la explotación cuando AI Times publicó su información, y AI Times señala que la magnitud de cualquier intrusión o filtración de datos aún no está confirmada.
- La causa técnica del fallo. Chosun Ilbo lo describe como un error al procesar la solicitud de un visitante; Asia Economy dice que surge en la gestión de memoria de PHP.
- Cómo se filtró la información antes de la publicación prevista. Chosun Ilbo, citando a SecurityWeek, dice que la información apareció en internet el 20 de octubre; AI Times dice que los detalles y un video de demostración del ataque se publicaron antes de tiempo; un titular de Yonhap menciona una disputa por la filtración de un parche que involucra a algunos distribuidores, sin detalles en los documentos.
Qué dicen los medios locales
Cronología, hora local
- Yonhap informó de la alerta de la UE y del consejo de CERT-EU de estar listos para actualizar o desconectar los sitios. [ 1 ]
- Hora de Corea a la que PHP anunció que publicaría los parches para las dos vulnerabilidades. [ 1 ]
- Yonhap informó de que las principales instituciones públicas europeas habían bloqueado el acceso. [ 4 ]
- Yonhap informó de que EE. UU. instó a los operadores a desconectarse si no podían actualizar de inmediato. [ 6 ]
- Chosun Ilbo informó de que los desarrolladores de PHP habían publicado una corrección de emergencia el 21 de octubre, hora local. [ 7 ]