La Agencia de Seguridad Nacional de Estados Unidos (NSA) ha advertido de dos vulnerabilidades críticas en PHP, un lenguaje de programación presente en cerca del 70% de las páginas web de todo el mundo. La alerta, difundida este miércoles, subraya el riesgo que estos fallos suponen para los servidores afectados y ha activado las advertencias de organismos de ciberseguridad en Europa y Asia.
«Todas las organizaciones que utilicen PHP en sus sistemas deben prepararse para instalar una actualización que corrija dos vulnerabilidades críticas», señaló la NSA en un comunicado. La agencia estadounidense advirtió de que estos fallos pueden proporcionar una vía directa al sistema de archivos o a la base de datos del servidor, y recomendó desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato.
Según la empresa de ciberseguridad Wiz, las vulnerabilidades permiten que un atacante ejecute código de forma remota sin autenticarse previamente y, en uno de los casos, lea información sensible almacenada en la memoria de los servidores. La gravedad de los fallos ha llevado a algunas instituciones europeas a desconectar preventivamente sus páginas web. En Alemania, la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) advirtió de que las vulnerabilidades suponen una amenaza para aplicaciones web de todo el mundo. En Países Bajos, el Gobierno desconectó temporalmente varias páginas oficiales como medida preventiva, mientras que Japón pidió a los operadores de sitios web que comprobaran si utilizaban PHP y se prepararan para instalar las actualizaciones lo antes posible.
La advertencia estadounidense se suma a las emitidas por el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea (CERT-EU) y por organismos nacionales como el Centro Nacional de Ciberseguridad del Reino Unido, que aconsejaron identificar los sistemas vulnerables e instalar las actualizaciones. En España, el Instituto Nacional de Ciberseguridad (Incibe), dependiente del Ministerio para la Transformación Digital y de la Función Pública, se ha sumado a las alertas y ha calificado la importancia del aviso en su nivel máximo, con una puntuación de severidad crítica de 9,2 sobre 10.
Las vulnerabilidades detectadas se refieren a un fallo en la gestión de la memoria que puede provocar que PHP maneje datos internos en un estado incorrecto, lo que podría ser utilizado por un atacante, y a que el lenguaje conserve información interna de una petición anterior y la use incorrectamente al procesar otra. El Incibe ha señalado que ya están disponibles las actualizaciones que solucionan esos fallos y ha recomendado aplicarlas «de inmediato». Como medidas temporales, ha sugerido reducir la exposición a determinadas rutas, pero ha advertido de que la actualización es la única solución completa. Si no se puede actualizar un sistema expuesto a internet, ha indicado que se debe aislar de las redes públicas hasta que se aplique la versión corregida.
PHP es un lenguaje de programación utilizado principalmente para crear páginas web dinámicas y aplicaciones que funcionan en internet, en las que los sitios no se limitan a mostrar información estática, sino que pueden responder e interactuar con el usuario. Su amplia adopción explica que una vulnerabilidad en este lenguaje tenga un impacto potencial en una parte muy importante de la infraestructura digital mundial.