Los creadores de PHP lanzan un parche urgente para PHP2Shell, una vulnerabilidad que permite tomar el control de un servidor y que los expertos comparan con Heartbleed.
Los creadores de PHP anunciaron este miércoles 21 de octubre un fallo crítico, bautizado como PHP2Shell, que permitiría a un atacante tomar el control de cualquier sistema que ejecute su software. PHP sustenta hasta el 70% de las páginas web del mundo. Con ese control, un atacante podría robar información o lanzar un ciberataque contra quien visite una web comprometida.
Investigadores de seguridad descubrieron la vulnerabilidad con inteligencia artificial. Los administradores web se apresuran ahora a protegerse, y algunos han desconectado sus sitios de forma preventiva. Según Volker Dusch, ingeniero de seguridad de la fundación sin ánimo de lucro que gestiona PHP, es el problema más grave al que se ha enfrentado el proyecto en más de una década. Dusch lo comparó con Heartbleed, que provocó hace más de diez años una carrera mundial para proteger cientos de miles de servidores.
PHP2Shell está relacionado con la forma en que PHP gestiona la memoria del ordenador. Los ciberdelincuentes pueden aprovecharlo de varias maneras, algunas en apenas unos segundos, para ejecutar software no autorizado en cualquier servidor sin parches. Ryan Austin, investigador de la empresa de seguridad Calif, lo encontró con GPT-5.6 Sol, un modelo avanzado de OpenAI, durante una auditoría del código de PHP en agosto, financiada por OpenAI dentro de una iniciativa de empresas de IA para ayudar a proyectos de código abierto. Con unas pocas docenas de solicitudes a un servidor, Austin logró controlar el código que se ejecutaba en memoria. En sistemas pequeños el ataque dura segundos y, en los más complejos, puede llevar horas.
➡️ Te puede interesar: Máster Profesional en Ciberseguridad, Ciberinteligencia y Ciberdefensa
El fallo llevaba años oculto. Un investigador ya había señalado ese punto problemático décadas atrás, pero se consideró demasiado difícil de explotar y quedó casi olvidado, explicó Thai Duong, director ejecutivo de Calif. Ami Luttwak, cofundador de Wiz, calificó PHP2Shell como «la vulnerabilidad de IA más grave que se ha encontrado jamás» y opinó que probablemente era demasiado compleja para descubrirla sin IA. Además, investigadores de Wiz, el equipo de ciberseguridad de Google, y del equipo de OpenAI hallaron nuevos exploits de forma independiente.
La publicación de un parche abre siempre una carrera entre defensores y ciberdelincuentes: los primeros deben probar e instalar las correcciones, y los segundos las analizan para detectar qué cambió y diseñar ataques contra esas áreas. Sin embargo, las herramientas actuales de IA hacen ese trabajo mucho más rápido que una persona, lo que, según los expertos, aumenta el riesgo. «Cualquier tipo en Twitter podría coger los parches, aplicarles la IA y publicar algún script de explotación», afirmó Duong. «Se desatará el caos», añadió.
Duong avisó a Dusch el 11 de agosto. «Hay un problema grave», le dijo. Dusch recordó su reacción: «Tuve un momento en el que pensé: “Dios mío, ¿y ahora qué hacemos?”». Después, contó, «te calmas, dejas que la adrenalina fluya y te pones a solucionarlo». Se formó un grupo de trabajo informal que colaboró con distribuidores de software y empresas de seguridad, y mantuvo el fallo en secreto para evitar que un ciberdelincuente asistido por IA lo explotara antes. La corrección afectó a cerca de 200 archivos y exigió más de 10.000 líneas de código. El parche estaba fijado para el 22 de octubre, pero la noticia se filtró el martes en una publicación de Hacker News, menos de dos días antes. El equipo de Dusch adelantó el lanzamiento y advirtió ese día de una actualización crítica para el miércoles, un «buen equilibrio para informar a los defensores» y «no dar a los atacantes demasiado tiempo para desarrollar exploits», según Dusch.
