Por Canuto  

Dos vulnerabilidades críticas de PHP permiten potencialmente ejecutar código a distancia en servidores expuestos. La alerta de la NSA y la rapidez con que investigadores desarrollaron una prueba funcional reflejan cómo la IA está comprimiendo los plazos de respuesta y explotación.

***

  • Investigadores identificaron dos vulnerabilidades en instalaciones de PHP que procesan solicitudes web; ambas recibieron una gravedad de 9,2 sobre 10.
  • La NSA recomendó aplicar los parches de inmediato o desactivar los servidores afectados, mientras algunos sitios gubernamentales europeos quedaron fuera de línea.
  • Amazon informó que detectó un intento de explotación y expertos advirtieron que las organizaciones podrían no saber si sus datos fueron robados.

 

La vulnerabilidad PHP2Shell puso en alerta a organizaciones que operan sitios web con PHP, un lenguaje de programación usado en el lado del servidor desde la década de 1990. Según informó CNBC, investigadores identificaron dos fallas capaces de permitir que una persona sin autenticación ejecute código de forma remota en servidores PHP expuestos, con la posibilidad de acceder a información sensible y robar datos empresariales.

La preocupación escaló el miércoles, cuando sitios web gubernamentales en varios países europeos quedaron desconectados y la Agencia de Seguridad Nacional de Estados Unidos recomendó a millones de organizaciones instalar los parches sin demora o desactivar sus servidores. Entre los países cuyos gobiernos tomaron sitios fuera de línea estuvieron Francia, Dinamarca, Finlandia y Países Bajos, según reportes de prensa. La instrucción refleja la gravedad potencial del problema, aunque una alerta de seguridad no confirma por sí misma que todos los sistemas afectados hayan sufrido una intrusión o pérdida de información.

PHP sigue teniendo una presencia amplia en la infraestructura web: se utiliza en más del 70% de los sitios que emplean lenguajes de programación del lado del servidor conocidos. Por esa escala, una falla en sus instalaciones que atienden solicitudes web puede afectar a una variedad de organizaciones, desde empresas hasta entidades públicas, aunque el alcance concreto depende de los sistemas y medidas de cada operador.

Los investigadores de la firma de inteligencia artificial Calif y del equipo de seguridad Wiz identificaron las vulnerabilidades a mediados de agosto. Calif recurrió a GPT-5.6 Sol de OpenAI, mientras que Wiz usó su agente de seguridad de IA Wiz Atlas, Gemini 4 Argon de Google y GPT-5.6 Sol; el hallazgo volvió a poner sobre la mesa el doble uso de estas herramientas, que pueden apoyar tanto la defensa como la búsqueda de debilidades.

De la divulgación al parche

La Fundación PHP planeaba publicar los parches el jueves, pero la información sobre las fallas se filtró antes en foros en línea y Calif publicó accidentalmente el martes un video de prueba de concepto que mostraba una cadena de explotación. El video fue retirado, aunque para entonces el calendario de respuesta ya se había acelerado: la fundación liberó las correcciones 24 horas antes de lo previsto, a las 10 a. m., hora del este, del miércoles.

Poco antes de la publicación de los parches, la NSA emitió su advertencia. Para ese momento, también había aparecido en GitHub, plataforma propiedad de Microsoft, código que afirmaba poder explotar PHP2Shell en cualquier servidor; la existencia de ese material aumentó la urgencia, pero no prueba que todas las demostraciones publicadas funcionaran como se anunciaba.

Elizabeth Barron, directora ejecutiva de The PHP Foundation, dijo a CNBC que la organización seguía la situación de cerca y que no tenía evidencia de explotaciones funcionales, sino de muestras incompletas, erróneas y no operativas. Matt Suiche, investigador de la startup de ciberseguridad Tolmo, ofreció una evaluación distinta sobre la rapidez con que podía desarrollarse una prueba: afirmó que su equipo logró programar una explotación funcional en menos de un día.

Suiche explicó que, con ayuda de IA, su equipo consiguió reproducir el problema localmente con relativa rapidez, mientras que antes de los modelos actuales el trabajo habría tomado varias semanas. Además, Amazon Threat Intelligence informó el miércoles que su red de telemetría MadPot detectó el sábado un intento de explotación de PHP2Shell; MadPot funciona como una red de señuelos digitales dedicada a identificar intentos de conexión sospechosos.

Una debilidad antigua en una nueva carrera

La causa de la vulnerabilidad no apareció de la nada. Mihail Kirov, quien trabajaba en Quarkslab y ahora es ingeniero de seguridad de productos en Tolmo, contó que hace dos años formó parte de un equipo que encontró una falla con la misma causa raíz y alertó entonces a la Fundación PHP, pero la organización no llegó a implementar una solución.

En una publicación de blog del miércoles, la Fundación PHP reconoció que la demora respondió a un “fallo estructural”, relacionado tanto con el proceso de toma de decisiones de su equipo de seguridad como con la falta de recursos. Esa admisión aporta contexto al episodio: además de corregir las vulnerabilidades actuales, la organización identificó dificultades internas que habían impedido atender antes un problema relacionado.

Las dos vulnerabilidades descubiertas recientemente recibieron una calificación de gravedad de 9,2 sobre 10. Kirov señaló que los modelos de lenguaje grandes permiten explorar muchos ángulos distintos con mayor rapidez, y sostuvo que el caso demuestra cuánto puede acelerarse la búsqueda de fallas en 2026; la velocidad beneficia a quienes buscan proteger sistemas, pero también puede reducir el tiempo disponible para que las organizaciones reaccionen.

Neatsun Ziv, director ejecutivo del proveedor de ciberseguridad Ox Security, advirtió que una entidad podría no detectar solicitudes sospechosas si no tenía instalada previamente una plataforma de seguridad de aplicaciones. Suiche añadió que, sin visibilidad sobre esos accesos, una empresa quizá solo descubra el robo cuando sus datos valiosos aparezcan a la venta en la dark web, una limitación que hace difícil determinar si la aplicación de un parche llegó antes o después de una intrusión.

El desafío de proteger sistemas heredados

Suiche describió PHP como un lenguaje heredado y advirtió que algunos usuarios podrían carecer de medidas de seguridad sofisticadas. Mencionó que gobiernos municipales y otras agencias suelen mantener sitios sin actualizar durante diez años, pese a que pueden almacenar información crítica; la antigüedad de esos portales no demuestra que hayan sido vulnerados, pero sí plantea un reto para los equipos responsables de mantenerlos y protegerlos.

El riesgo inmediato no termina con la instalación de una corrección. Las organizaciones deben identificar qué servidores utilizan PHP, determinar cuáles procesan solicitudes web y comprobar que aplicaron los parches publicados, mientras valoran la opción de desactivar los sistemas que no puedan actualizar a tiempo, de acuerdo con la recomendación de la NSA.

El episodio también refleja una transformación más amplia en la ciberseguridad impulsada por la inteligencia artificial. Expertos citados en el reporte compararon la evolución de los plazos de explotación: antes, encontrar una falla y desplegar ataques a través de internet podía tomar semanas; después, días, y desde abril de 2026, en la llamada era Mythos, el proceso podría reducirse a horas.

Anthropic presentó Mythos en abril ante un grupo pequeño de empresas y agencias gubernamentales para evaluar si las defensas estaban preparadas antes de una distribución más amplia. No hay base para afirmar que el modelo esté disponible de forma generalizada para actores maliciosos: BBC informó que Anthropic investiga una denuncia de que un pequeño grupo obtuvo acceso no autorizado a Mythos. En ese contexto, el caso PHP2Shell subraya la presión para corregir vulnerabilidades con rapidez y reforzar la capacidad de detectar accesos no autorizados, sin asumir que un parche por sí solo permite saber si hubo filtraciones.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados