Agencias/Ciudad de México.- Gobiernos y corporaciones trabajaron durante toda la noche para reparar una falla en un lenguaje de programación vital para el 70% de los sitios web del mundo.
Muchos sitios gubernamentales parecían funcionar con normalidad el jueves, pero continuaron las interrupciones o el servicio limitado mientras se realizaban las labores de seguridad.
La división cibernética del FBI advirtió que las vulnerabilidades podrían permitir que actores maliciosos ejecuten código de forma remota en el lenguaje de programación PHP, que impulsa sitios web y aplicaciones web.
Eso elevó el riesgo de que datos sensibles y redes se vieran comprometidos, señaló la agencia, que recomendó a los operadores desconectar los sitios web si no pueden actualizarlos de inmediato.
Expertos en ciberseguridad que hablaron con The Associated Press explicaron que la falla tendrá efectos en cadena durante algún tiempo, pero que los gobiernos estaban siguiendo las mejores prácticas de ciberseguridad al desconectar sitios web mientras se aplicaban los parches.
Interrupciones limitadas en sitios web gubernamentales
En Gran Bretaña, algunos servicios gubernamentales podrían quedar temporalmente fuera mientras se realizan trabajos para abordar posibles problemas de ciberseguridad, informó la oficina del primer ministro.
“Ya se ha trabajado en todo el Gobierno para identificar y corregir posibles exposiciones de nuestros sistemas, y nuestros expertos siguen trabajando estrechamente tanto con OpenAI como con socios internacionales en este asunto”, declaró una portavoz el jueves.
“Ningún servicio público se está viendo afectado por el ejercicio, pero algunos servicios podrían quedar temporalmente fuera de línea mientras se realizan los trabajos de seguridad”, declaró la portavoz.
El sitio web del gobierno de Finlandia indicó que la interrupción se había resuelto, pero que “aún falta parte del contenido y actualmente se está restaurando”.
En Japón, el sitio web de la prefectura de Osaka informó que su servicio de traducciones automáticas no estaba disponible “debido a una falla del sistema”.
La primera ministra japonesa compartió una advertencia del gobierno en redes sociales, en la que aconsejó a los administradores de sitios web comprobar si usan PHP e instalar de inmediato un parche que se publicó a última hora del miércoles.
“Si resulta difícil aplicar el parche de corrección con prontitud, suspender temporalmente los sitios web y medidas similares pueden considerarse una forma eficaz de reducir el riesgo”, declaró la primera ministra Sanae Takaichi.
El secretario jefe del gabinete, Minoru Kihara, anunció que el gobierno no había recibido informes de daños por ciberataques relacionados con la vulnerabilidad de PHP.
Partes de algunos sitios web gubernamentales se desconectaron temporalmente, indicó, para minimizar riesgos “solo por precaución”.
Las dos fallas identificadas por inteligencia artificial podrían permitir que actores malintencionados obtengan acceso a sitios que, en teoría, podría permitirles controlar un servidor web de forma remota sin necesidad de una contraseña, explicó James Sullivan, director de Cibernética del Royal United Services Institute en Londres.
Eso podría permitir que un hacker robe datos, altere datos o use el sistema como plataforma desde la cual lanzar otros ataques, indicó.
Desconectar los sitios web mientras se corrige el problema es una “buena práctica” y una gestión adecuada del riesgo cibernético, pero resulta “asombroso” que algunos de los fallos tengan más de una década, ya que fue entonces cuando se creó por primera vez el software, afirmó Sullivan.
Agentes de inteligencia artificial ayudaron a descubrir las vulnerabilidades. En un blog, OpenAI indicó que había encabezado una coalición de investigadores, proveedores de seguridad y otros para abordar vulnerabilidades en PHP durante los últimos dos meses.
OpenAI calificó los fallos como “uno de los problemas de seguridad más impactantes de los que se tenga memoria reciente”. Señaló que la IA parecía haber encontrado las vulnerabilidades antes que cualquier atacante.
Según la Fundación PHP, la vulnerabilidad se conoce desde al menos 2024, y la fundación aceptó parte de la culpa por no haber encontrado una solución antes.
“El retraso fue un fallo estructural, causado tanto por el proceso de decisión del equipo de seguridad como por su falta de recursos”, señaló la fundación.
Resolver completamente el problema podría tomar semanas o meses
“El radio potencial de explosión de esto, francamente, es enorme”, dijo Charl van der Walt, jefe de investigación de seguridad en Orange Cyberdefense.
“Lo que estamos viendo ahora, creo, son apenas los temblores muy tempranos; lo que aún está por venir en las próximas semanas y meses será mucho más significativo”, afirmó.
Eso se debe a que PHP es fundamental para el funcionamiento de muchos sitios o aplicaciones web y podría estar enterrado profundamente en cosas que van desde blogs hasta tostadoras conectadas a internet o cámaras para bebés, apuntó van der Walt.
Si bien los desarrolladores de software necesitan corregir los errores, todas las diversas implementaciones también deben corregirse, lo que requiere que las empresas reconozcan que están ejecutando el software, señaló.
Luego esas empresas deben “identificar los sistemas donde se está ejecutando, identificar quién es el propietario de esos sistemas y hacer una evaluación de riesgos sobre cuándo y si puede aplicarse el parche”, señaló van der Walt.
El periodo más intenso de corrección del problema probablemente será durante las próximas semanas, pero podrían pasar “meses o años antes de que se eliminen todos los rezagados”, agregó van der Walt.
“Hay buenas y malas noticias en esto”, comentó Sullivan explicando que, por un lado, la IA puede ayudar a los atacantes a identificar nuevas vulnerabilidades, pero por otro, también puede ayudar a descubrirlas y corregirlas.
Una de las vulnerabilidades corrompe la memoria de un sistema, lo que significa que ya no puede recordar ciertos fragmentos de datos, lo que permite que un posible hacker explote el sistema con su propio código.
El otro fallo implica que los datos de los usuarios se almacenan en el sistema en lugar de eliminarse, lo que permite que un actor malicioso potencialmente acceda a ellos, incluso descargándolos o borrándolos, explicó Sullivan.
La razón, dijo, por la que algunos sitios web podrían seguir caídos es que hay múltiples parches disponibles para distintos tipos de software; algunas organizaciones quizá aún estén esperando recibirlos y deben probarlos para confirmar que funcionan.
Pero van der Walt dijo que, aunque la IA puede usarse para ayudar a aplicar parches a vulnerabilidades, eso no es el final de la historia. Si bien los atacantes pueden explotar una vulnerabilidad, los defensores necesitan aplicar el parche —pero el parche debe ser robusto, probado y aprobado, señaló.
En un escenario hipotético, indicó van der Walt, también podría haber problemas para llegar al objeto físico donde se está ejecutando el software, como un marcapasos implantado médicamente o el sistema de entretenimiento a bordo en un avión.
“La solución no siempre es tan simple como encontrar el problema… ahora mismo, creo que estamos en una ventana en la que ciertamente el atacante está obteniendo más ventaja de la IA que el defensor”, afirmó.
La Fundación PHP, que incluye a desarrolladores que trabajan en asegurar el lenguaje de programación, informó a última hora del miércoles que había publicado correcciones para las vulnerabilidades, junto con instrucciones sobre cómo actualizar los sistemas.
La agencia de ciberseguridad de la Unión Europea, ENISA, aconsejó a las “organizaciones tomar medidas inmediatas” para abordar las vulnerabilidades.
Pero “no deberíamos convertir esto en un escenario apocalíptico en el que estamos todos condenados”, afirmó Sullivan.
Hay muchos pasos que personas y empresas pueden tomar para protegerse frente a la mayoría de las amenazas, dijo, entre ellos identificar sistemas que podrían verse comprometidos, instalar actualizaciones de software y parches tan pronto como se publiquen y usar autenticación de dos factores.
