El miércoles, una tecnología de red de código abierto con decenas de años de antigüedad, PHP, casi paralizó internet debido a dos vulnerabilidades que, tras estar dormidas durante años, fueron recientemente descubiertas por investigadores como explotables.
Estas vulnerabilidades se denominan PHP2Shell y tienen los números oficiales CVE-2026-109618 y CVE-2026-109619. En términos sencillos, estas vulnerabilidades permiten a cualquier persona que sepa cómo explotarlas acceder a sistemas en línea que ejecutan PHP, como sitios web o servidores expuestos a Internet, sin necesidad de contraseña, y acceder o modificar los datos dentro de ellos.
Desde la gravedad del incidente, este evento fue considerable, obligando a millones de personas en todo el mundo a aplicar urgentemente parches al sistema antes de que los hackers maliciosos pudieran explotarlo.
PHP Foundation, encargada de mantener el software web PHP, lanzó públicamente un parche de corrección el miércoles que, una vez instalado, impide que los servidores expuestos a la web sean atacados. Anteriormente, la fundación había proporcionado acceso anticipado al parche a algunas de las mayores empresas de internet y proveedores de alojamiento web que dependen de PHP.
Gracias a semanas de comunicación detrás de escena y coordinación cuidadosa dentro de la industria, se ha evitado en general a nivel mundial el uso masivo de internet. A partir del miércoles, los gobiernos de varios países comenzaron a instar a los ciudadanos y a las empresas que poseen sitios web a tomar medidas para reducir su riesgo. Bancos, minoristas, sitios de juegos, tiendas en línea, hospitales y algunas instituciones gubernamentales cerraron sus servidores para prevenir ataques.
Pero los investigadores de seguridad advierten que la situación no ha terminado, y aún hay muchos sistemas en todo el mundo sin parchear, siguiendo vulnerables a intrusiones y robo de datos.
Esto también es muy probable que no sea la última gran crisis de software de internet. Algunos esperan que la aparición de la inteligencia artificial descubra rápidamente más vulnerabilidades aún no identificadas, a la espera de ser encontradas y explotadas.
What happened?
Los investigadores de seguridad de Califf descubrieron dos vulnerabilidades en PHP. PHP es un lenguaje de programación ampliamente utilizado en todo el mundo para construir sitios web y aplicaciones web, tanto en internet como en sistemas alojados localmente en redes corporativas, como intranets y sitios internos.
Estas vulnerabilidades se descubrieron por primera vez en 2024, pero en ese momento no se consideraron explotables, por lo que no se corrigieron. Recientemente, los investigadores de seguridad encontraron formas de explotarlas y advirtieron a los desarrolladores del software que las repararan lo antes posible.
Calif notificó a la Fundación PHP, que comenzó inmediatamente a reparar la vulnerabilidad y coordinar la divulgación. La fundación permitió a grandes empresas tener la oportunidad de instalar antes la reparación proporcionando información y parches durante un período de confidencialidad estricta, es decir, manteniendo la confidencialidad hasta una fecha límite específica.
¿Por qué estas vulnerabilidades son tan graves?
PHP2Shell es grave porque puede ser abusado remotamente a través de Internet, y las víctimas no necesitan hacer clic en enlaces ni abrir archivos. Esto se conoce como ejecución remota de código, uno de los tipos de vulnerabilidades más destructivos, ya que pueden permitir que hackers de cualquier parte del mundo tomen control casi total de sistemas afectados y no actualizados.
Lo peor es que estas vulnerabilidades específicas de PHP permiten a los atacantes comprometer cualquier sistema sin aplicar parches a través de Internet sin necesidad de contraseña u otras credenciales, lo que se conoce como acceso no autenticado.
Esto permitiría a los hackers maliciosos instalar software malicioso en la computadora, como robar datos o simplemente mantener una presencia prolongada para regresar en el futuro.
¿Por qué el 70% de las páginas web están afectadas?
PHP es solo una de las muchas tecnologías antiguas que aún funcionan correctamente, que han sobrevivido a múltiples evoluciones y generaciones de internet, y que hoy en día están por todas partes, como si fueran el pegamento que sostiene gran parte del funcionamiento de internet. Con frecuencia, estas herramientas fueron desarrolladas por mantenedores de código abierto que no reciben compensación por su trabajo y, por lo tanto, no pueden permitirse auditorías de seguridad de terceros, pero las empresas siguen dependiendo ampliamente de estos proyectos sin proporcionarles financiamiento.
Were these vulnerabilities discovered by artificial intelligence?
Los investigadores de seguridad de Calif recibieron reconocimiento por descubrir estas vulnerabilidades durante una auditoría de seguridad del código PHP a principios de este año. Calif participó en el programa Hack the Planet, iniciado por OpenAI y la empresa líder en seguridad en la nube Wiz, que posteriormente verificó el código de prueba de concepto desarrollado por Calif.
En el artículo de explicación de Calif (que también incluye un cómic, excelente y vale la pena ver), los investigadores explican que la inteligencia artificial se utilizó para ayudar a aprovechar la vulnerabilidad, pero la mayor parte del trabajo aún dependió del conocimiento previo de los investigadores y su familiaridad con la base de código PHP y el historial de explotaciones.
Calif escribió: "Ningún modelo puede extraer directamente 'todas las vulnerabilidades' solo con indicaciones simples. Al menos, aún no puede."
¿Por qué se aprovecharon estas vulnerabilidades antes de que se divulgaran?
A pesar de los esfuerzos de todas las partes por mantener en secreto los detalles de la vulnerabilidad hasta el miércoles, parece que ya se han observado ciertos comportamientos de explotación de PHP2Shell antes del lanzamiento del parche.
Debido a su gran escala y alta visibilidad, Amazon posee una gran capacidad de洞察 sobre amenazas en línea. La empresa indicó en una entrada de blog que detectó indicios de explotación de PHP2Shell aproximadamente una semana antes del lanzamiento del parche de PHP, lo que sugiere que alguien, en algún lugar, ya conocía cómo explotar estas vulnerabilidades antes de que los detalles se hicieran públicos. Amazon señaló que actualmente no está claro cómo los atacantes se enteraron de estas vulnerabilidades, pero los defensores deben retroceder hasta el 17 de octubre en busca de evidencia de explotación.
Sobre el desarrollo del evento, existen varias versiones. Una vez que se corrige la vulnerabilidad, los detalles del parche pueden volverse inmediatamente evidentes, especialmente en código abierto como PHP, donde cualquiera puede verlo públicamente. Aprovechar estas vulnerabilidades puede no ser sencillo, pero conocer su ubicación y cómo se corrigió podría ayudar a hackers maliciosos a identificar objetivos y desarrollar código de explotación.
También es posible que haya habido una filtración en algún lugar durante el período de prohibición o una interrupción en la comunicación. La comunidad de código abierto es muy grande, y controlar la información de esta manera depende de la buena fe y la cooperación de todas las partes.
Además, es posible que los hackers hayan descubierto independientemente estas vulnerabilidades con anticipación o las hayan conocido mediante actividades de espionaje.
Los investigadores indican que hacer que estas vulnerabilidades realmente explotables requiere mucho trabajo; armarlas como armas siempre ha sido un desafío, pero no imposible, lo que explica por qué aún no hemos visto escenarios de explotación a gran escala.
La internet experimentó una interrupción a gran escala, pero está en recuperación. ¿Nos hemos librado de la peor situación?
Aún es demasiado pronto para sacar conclusiones, pero hasta ahora no se han observado indicios de aprovechamiento a gran escala, lo cual es al menos una señal alentadora—aunque aún no hemos salido completamente del área de riesgo.
El CEO de Cloudflare, empresa de seguridad y monitoreo cibernético, Matthew Prince, dijo esta semana que la compañía observó un crecimiento exponencial en los intentos de explotación tras la divulgación de la vulnerabilidad. Esto también indica la rapidez con la que los actores maliciosos intentan aprovechar estas fallas para su beneficio.
PHP no solo se utiliza en servidores web, sino también en herramientas de desarrollo, paquetes de línea de comandos y terminales, así como en otros componentes de software utilizados por routers, dispositivos de almacenamiento y equipos de seguridad empresarial (como firewalls y VPN).
Se puede esperar que la explotación de PHP2Shell continúe en el futuro, ya que los equipos de TI más pequeños y los desarrolladores independientes podrían actualizarse más lentamente. Mientras tanto, muchas empresas que integran PHP en sus productos y software también necesitan actualizar sus sistemas, lo que generará un período de transición.
A medida que más dispositivos y sistemas se actualicen, la superficie de ataque se reducirá gradualmente. Sin embargo, los efectos en cadena de estas vulnerabilidades aún podrían persistir durante años, especialmente en sistemas heredados que no se pueden actualizar.
Will this happen again?
En estos años como periodista de seguridad, este ha sido un día raro y lo suficientemente grave como para detener internet. En 2016, una enorme red de zombies atacó con tráfico masivo a Dyn, la empresa de registro de internet, provocando el cese casi total de servicios de numerosos sitios web de primer nivel. En 2017, Corea del Norte infectó el sistema de salud británico con herramientas de hacking robadas del gobierno estadounidense y lanzó ransomware. En 2024, una actualización defectuosa de CrowdStrike provocó una interrupción masiva a nivel global, haciendo que la mayoría de las computadoras Windows del mundo colapsaran simultáneamente.
Desde todos los puntos de vista, PHP2Shell permitió que internet evitara un día que podría haber sido extremadamente doloroso y destructivo. Pero es poco probable que esta sea la última gran incidencia que afecte a la red en el futuro, y podría ser el comienzo de una serie de eventos que exploten vulnerabilidades en tecnologías heredadas. En gran medida, esto se debe a que estos software antiguos pero omnipresentes tienen defectos inherentes aún no descubiertos, además de que las herramientas de inteligencia artificial facilitan la detección de vulnerabilidades.
PHP, al igual que otros lenguajes y tecnologías de programación web de hace décadas, pertenece a software "inseguro en memoria", lo que significa que puede ser vulnerable a una clase completa de fallos que provocan la fuga o desbordamiento de datos sensibles desde el almacenamiento de memoria. La Agencia de Seguridad Nacional de Estados Unidos indica que aproximadamente el 75 % de las vulnerabilidades actualmente explotadas aprovechan defectos relacionados con la memoria, es decir, los hackers suelen utilizar este tipo de fallos.
Esto ha impulsado a la industria a adoptar lenguajes seguros en memoria, como Python, Rust y Swift, que no son tan susceptibles de ser explotados como las vulnerabilidades de memoria. Por lo tanto, estos lenguajes son en gran medida inmunes a numerosas vulnerabilidades que aún afectan a sus predecesores.
Pero esto aún deja una parte considerable de Internet funcionando con PHP, medios y códecs de video, bibliotecas de compresión y otro software de hace décadas, y cuando estas tecnologías fallan, tienen un gran impacto en toda la red.