Varios países lanzaron ya alertas ante las vulnerabilidades que se detectaron en un lenguaje de programación (el PHP) muy utilizado para crear páginas web y aplicaciones y que pueden acarrear importantes riesgos para esos servidores.
Entre los países que ya lanzaron esas alertas están Estados Unidos, España, Alemania, Países Bajos, Alemania o el Reino Unido, que advirtieron de que todas las organizaciones que utilicen ese lenguaje en sus sistemas deben prepararse para instalar una actualización que corrija las dos vulnerabilidades “críticas” que se detectaron.
La Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) advirtió este miércoles de esas vulnerabilidades, y de que esos fallos pueden proporcionar una vía directa al sistema de archivos o a la base de datos del servidor, por lo que recomendó desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato.
Lea más: DeepSeek abre el código de DeepInfer para hacer la IA más asequible
En España, el Instituto Nacional de Ciberseguridad (Incibe) emitió una alerta ante estas vulnerabilidades, calificó la importancia del aviso en su nivel máximo (‘importancia crítica’), y avisó de que atacantes remotos no autenticados podrían ejecutar códigos y tomar el control de un servidor web sin tener los privilegios para ello.
Severidad crítica
Las vulnerabilidades que se detectaron están clasificadas con una puntuación de severidad ‘crítica’, de 9,2 en una escala que abarca del 0 al 10, informó el Incibe.
‘PHP’ es un lenguaje de programación que se utiliza principalmente para crear páginas web dinámicas y aplicaciones que funcionan en internet, en las que esos sitios no se limitan a mostrar información estática, sino que pueden responder e interactuar con el usuario.
Entre las soluciones a este grave problema que afecta a uno de los lenguajes de programación más utilizados del mundo, las agencias de seguridad apuntaron la de aplicar las versiones corregidas, y comunicaron que ya están disponibles las actualizaciones que solucionan esas vulnerabilidades.
Por ello, aconsejaron actualizar “de inmediato” esa herramienta e hicieron una serie de recomendaciones para adoptar medidas temporales en caso de que no se pueda actualizar de forma inmediata.
Esas medidas temporales reducen la exposición a algunas ‘rutas’ concretas, pero el Incibe español advirtió de que la actualización es la única solución completa, y alertó de que si no se puede actualizar un sistema que está expuesto a internet, se debe aislar de las redes públicas hasta que se consiga aplicar la versión corregida.
Las vulnerabilidades que se diagnosticaron se refieren a un fallo en la gestión de la memoria que puede provocar que PHP maneje datos internos en un estado incorrecto, lo que podría ser utilizado por un atacante; y que el ‘lenguaje’ conserve información interna de una petición anterior y la use incorrectamente al procesar otra.
Lea más: Por qué la teoría científica sigue siendo necesaria en la era de la IA y los “datos zombi”
Riesgo de ciberataques
En Alemania, la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) alertó ante el riesgo de ciberataques, después de que se descubrieran esas vulnerabilidades graves en este lenguaje, y aseguró que “en estos momentos, unas vulnerabilidades críticas en el lenguaje de programación PHP suponen una amenaza para las aplicaciones web de todo el mundo”.
En Países Bajos, numerosas instituciones públicas, empresas y medios de comunicación desconectaron sus páginas web como medida preventiva ante el riesgo de ciberataques por la misma razón, y Japón emitió también una alerta en el mismo sentido.
Por su parte, numerosas webs de instituciones públicas, medios de comunicación, hospitales y empresas de Bélgica quedaron desconectadas como medida preventiva.
El primer gran apagón institucional llegó desde Flandes, cuyo ministro-presidente, Matthias Diependaele, anunció en la red social X que había ordenado retirar de forma temporal todas las webs oficiales del Gobierno regional que funcionan con ese lenguaje.
“La continuidad y la seguridad de los servicios digitales para nuestros ciudadanos son nuestra prioridad absoluta”, justificó Diependaele, que prometió publicar cuanto antes la lista de sitios y servicios afectados, entre los que figura ya el portal del Parlamento flamenco.
Las advertencias de estos países se suman a las emitidas por el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea (CERT-EU) y por otros organismos nacionales, como el Centro Nacional de Ciberseguridad del Reino Unido, que aconsejaron igualmente identificar los sistemas vulnerables e instalar las actualizaciones.
Según la empresa de ciberseguridad Wiz, las vulnerabilidades pueden permitir que un atacante ejecute código de forma remota sin autenticarse previamente y, en uno de los casos, lea información sensible almacenada en la memoria de los servidores.