PHP. Letras que hasta solo unos días solo tenían significado para un público especializado y que en la última semana se han vuelto sinónimo de una de las mayores catástrofes de ciberseguridad en años, cuando el anuncio de dos fallas críticas detectadas en este ampliamente utilizado lenguaje de programación para sitios web causaron que gobiernos en decenas de países emitan alertas, cientos de miles dominios caigan y los datos de millones usuarios estuvieran en riesgo.
Lanzado en 1995 por el desarrollador Rasmus Lerdorf, PHP (inicialmente Personal Home Page y ahora Preprocessor Hypertext) es un lenguaje de programación de código abierto diseñado para la creación de páginas dinámicas.
Es decir, a diferencia de las web estáticas que siempre envían a sus usuarios a la misma página como si se tratara de un libro, el sitio genera su contenido dependiendo del usuario, consultando una base de datos y comprobando si este ha iniciado sesión, para poder mostrarle información personalizada o contenido en tiempo real.
Esta versatilidad lo ha hecho enormemente popular, al punto de que alrededor de 7 de cada 10 páginas web lo utiliza, con sitios como Wikipedia o WordPress como ejemplo, lo que hace que cualquier vulnerabilidad impacte a un número elevado de usuarios.
Actualmente el PHP es mantenido por una organización sin fines de lucro llamada la Fundación PHP, creada con la misión de apoyar, financiar y garantizar a largo plazo el desarrollo y mantenimiento del lenguaje de programación.
Utilizando inteligencia artificial, investigadores de la empresa de ciberseguridad Calif y la empresa OpenAI identificaron independientemente dos vulnerabilidades en PHP en agosto , las cuáles han fueron bautizadas “php2shell”. Las vulnerabilidades son inherentes al lenguaje mismo del PHP y afectan versiones lanzadas en la última década.
“El problema estaba relacionado con un componente que gestionaba el progreso de la carga de archivos”, señala a El Comercio Sergio Azahuanche Gutiérrez, consultor senior de ciberseguridad para Marsh Perú. “Una interrupción inesperada en su funcionamiento podía permitir que el atacante inyectara código de terceros y consiguiera mayores privilegios.”
“Como PHP trabaja bajo un sistema de peticiones, cuando una petición se queda sin recursos en medio del procesamiento PHP deja datos a la mitad sin completar su autenticación, entonces datos falsos pueden ser procesados como verdaderos”, añade Luz Antuanet Adanaqué, docente del Departamento de Ciencia de Computación y de Datos de la UTEC.
Metafóricamente, era como tener la puerta de tu casa abierta a todo aquel que conociera el truco de tu cerradura, y en el caso del PHP un atacante podría aprovechar la vulnerabilidad para obtener acceso a los recursos de una página, incluyendo información sensible de los usuarios.
“La vulnerabilidad recibió una puntuación de 9,2 sobre 10 en la escala CVSS, utilizada internacionalmente para evaluar la gravedad de estos problemas”, indica Azahuanche Gutiérrez. “Es una calificación crítica, especialmente porque ya se estaban registrando intentos de explotación”.
En comparación, Heartbleed, la vulnerabilidad de OpenSSL que causó pánico hace una década, solo tenía una puntuación de 7,5.
El miércoles, la Fundación PHP lanzó un parche para cerrar las vulnerabilidades en su código, instando a todos sus usuarios de PHP a actualizarlas inmediatamente.
“Ese es uno de los problemas recurrentes en ciberseguridad. Cuando se descubre una vulnerabilidad y todavía no existe una corrección disponible, se abre una ventana durante la cual los atacantes pueden aprovecharla”, remarca Azahuanche Gutiérrez.
El anuncio de la vulnerabilidad generó alarma globalmente, y gobiernos de países como Estados Unidos, Japón, Alemania, Singapur, Australia y Países Bajos lanzaron comunicados de alerta e incluso dejaron fuera de línea sus páginas hasta poder aplicar el parche.
“La comunidad de PHP publicó correcciones para distintas versiones, incluidas algunas antiguas que ya estaban fuera de soporte. Mientras no existe un parche, proveedores como Cloudflare pueden ayudar a identificar y bloquear intentos de explotación mediante mecanismos de protección de aplicaciones web”, añade. “Sin embargo, esas medidas no sustituyen necesariamente la corrección del software.”
Esta vulnerabilidad también toca un problema grave de la ciberseguridad que es el de la obsolescencia tecnológica, donde algunas organizaciones no pueden actualizar sus programas, en este caso su versión de PHP, porque sus programas dependen de un hardware muy antiguo, lo que lleva a que se dejen abiertas vulnerabilidades ya conocidas que han sido parchadas por versiones posteriores.
“Las empresas deben programar migraciones progresivas de hardware, de modo que renovar sus sistemas no se convierta en un proceso demasiado costoso y complejo cuando ya sea inevitable”, enfatiza el experto. Queda sobreentendido que en muchos casos, el precio de un ataque informático puede ser mucho más costoso que el de reemplazar componentes electrónicos.
En el caso de qué medidas debes tomar, depende de si se trata de una persona que utiliza una página web o de alguien que administra y desarrolla una plataforma.
Si entras en la primera categoría, dependes principalmente de la plataforma y su empresa responsable para corregir la vulnerabilidad, así que por ahí no puedes hacer mucho. Sin embargo, todavía puedes tomar medidas para protegerte como mantener actualizados todos tus dispositivos a su última versión y, en caso tengas sospechas de que tus datos se han visto vulnerados, es imperativo que cambies las contraseñas que estén en riesgo.
Para las empresas y los responsables de páginas web, las medidas son más específicas, y consisten en instalar los parches de seguridad disponibles y, mientras no exista una corrección, aplicar medidas temporales como desactivar el componente vulnerable, aislar los sistemas afectados o reforzar su monitoreo.
El PHP ha demostrado una vez más como el advenimiento de la inteligencia artificial ha cambiado lo que se conocía sobre la ciberseguridad, con los investigadores de Calif utilizando esta tecnología para encontrar esta falla y cibercriminales aprovechándola para intentar cometer sus delitos de una manera mucho más rápida que podían los humanos.
“La IA es capaz de inundar un sitio web de peticiones de manera muy rápida, entre otras cosas”, indica Luz Antuanet Adanaqué “Las vulnerabilidades estaban antes, lo que está haciendo la IA es evidenciándolas en tiempo récord, lo más probable es que sigan apareciendo.”
Es una nueva realidad que hará que este tipo de incidentes se repitan con mayor frecuencia en el futuro próximo, coincidieron los expertos en ciberseguridad consultados.
“Es una carrera entre los equipos que atacan y los que defienden, pero ahora acelerada por la inteligencia artificial”, coincide Azahuanche Gutiérrez.