PHP: The three little letters wreaking havoc across the web
The Verge AI · 22 oct, 17:12
Qué hacer: Actualiza PHP a la versión parcheada disponible desde las 10:00 ET del día de la divulgación; si no puedes actualizar de inmediato, desconecta tus sistemas según recomendación de NSA y agencias de ciberseguridad.
Dos vulnerabilidades críticas descubiertas en PHP, un lenguaje que potencia aproximadamente el 70 % de los sitios web, ponen en riesgo enormes porciones de Internet. Las vulnerabilidades afectan a casi todas las versiones de PHP desde hace 20 años, incluyendo versiones ya sin soporte. Los modelos de IA avanzados (como GPT-5.6 Sol) han facilitado enormemente la explotación de estos fallos, convirtiéndolos de un error prácticamente inexplotable en vulnerabilidades críticas activas; tanto que ha requerido que organismos como la NSA y agencias de ciberseguridad de Reino Unido y gobiernos de Holanda y Finlandia recomendaran o ejecutaran desconexiones de emergencia.
Las dos vulnerabilidades de Remote Code Execution (RCE) en PHP tienen una puntuación de severidad de 9,2 de 10 y afectan a cada versión de PHP desde la versión 5 en adelante. Aunque el defecto ha existido durante aproximadamente 20 años, su explotación requería "una cadena excepcionalmente compleja de pasos, al límite de lo que los investigadores humanos podrían lograr prácticamente", según la firma de seguridad Wiz. Sin embargo, los modelos de IA potentes han democratizado el descubrimiento y la explotación de estas vulnerabilidades: OpenAI reporta que un investigador de seguridad utilizó GPT-5.6 Sol para identificar los exploits antes de que los atacantes lo hicieran.
Las repercusiones han sido inmediatas y generalizadas. En los 10 horas previas al anuncio público de la vulnerabilidad, Cloudflare vio miles de intentos de explotación; tras la divulgación, esto saltó a "cientos de miles" en 2 horas y a "millones" horas después. Sitios como Wikipedia, WordPress, DeviantArt, 4Chan, el Internet Archive y servicios como Pokémon Home se vieron forzados a desconectarse. Dos viejos juegos móviles japoneses (World Quest y Save My Demonic World) han anunciado su cierre definitivo porque su código heredado no puede actualizarse, amenazando con la pérdida permanente de contenido histórico de Internet.
Puntos clave
- Afecta a todas las versiones de PHP desde PHP 5 en adelante; puntuación de severidad 9,2/10
- RCE: permite a atacantes ejecutar código arbitrario, robar datos y alterar sitios web
- Los modelos de IA han convertido un exploit prácticamente inexplotable en un ataque trivial
- Miles de intentos en 10 horas previas a la divulgación; millones de ataques 24 horas después
- Muchos sitios antiguos sin mantenimiento activo no pueden parcharse y enfrentan cierre permanente
Figuras de la fuente
