La Agencia de Seguridad Nacional de Estados Unidos (NSA) y la Agencia de Ciberseguridad de Europa emitieron una alerta máxima tras el hallazgo de «PHP2Shell», dos fallas críticas en PHP, el lenguaje de programación que sustenta al 70% de los sitios web globales. La vulnerabilidad, que permaneció oculta durante más de diez años, fue detectada mediante inteligencia artificial por equipos de OpenAI y la firma Wiz, propiedad de Google.

¿Qué es la vulnerabilidad PHP2Shell y a quiénes afecta?

El fallo crítico afecta a sistemas de gestión de contenido masivos como WordPress y Drupal. Según las investigaciones, permite a cibercriminales vulnerar la memoria de los servidores para extraer datos confidenciales, incluidos nombres de usuario, contraseñas e información bancaria.

  • Alcance masivo: PHP impulsa el 70% de la infraestructura web a nivel mundial.
  • Riesgo transaccional: Plataformas de comercio electrónico, reserva de boletos y aplicaciones de reparto están expuestas a la filtración de tarjetas.
  • Falla decenal: Las vulnerabilidades permanecieron indetectables en el código fuente durante más de una década.

Gobiernos y gigantes tecnológicos suspenden operaciones

La primera ministra de Japón, Sanae Takaichi, exhortó públicamente a las empresas a suspender sus servicios web si era necesario para aplicar la actualización de seguridad. En respuesta, la aerolínea ANA, el operador ferroviario JR West y el banco MUFG desconectaron temporalmente portales digitales para mitigar riesgos.

En Europa, la Fundación Wikimedia confirmó el apagado preventivo de diversos sistemas de Wikipedia, mientras que servicios gubernamentales en Francia, Dinamarca, Finlandia y los Países Bajos interrumpieron sus plataformas. En el sector mediático, el portal irlandés The Journal suspendió transmisiones para reforzar sus defensas.

“Dado que PHP sustenta una parte tan inmensa de la web, el riesgo podría extenderse a prácticamente cualquier lugar donde la gente realice pagos en línea”, advirtió Nigel Green, director ejecutivo de deVere Group.

Respuesta de la PHP Foundation y medidas inmediatas

La PHP Foundation liberó un parche de emergencia urgente e instó a todos los administradores de sistemas a actualizar de forma inmediata. Paralelamente, el viceprimer ministro neerlandés, Rob Jetten, informó que su gabinete supervisa la aplicación global de las correcciones de código.

¿Tu empresa o portal web ya aplicó la actualización de seguridad para el lenguaje PHP? Comparte tus observaciones en la sección de comentarios.