Agencia de Seguridad Nacional alerta sobre fallas críticas PHP

Diversas agencias gubernamentales y empresas a nivel global procedieron a cerrar sitios web durante un miércoles tras hacerse públicas dos vulnerabilidades críticas en PHP, un lenguaje de programación que sustenta una porción significativa de internet. De acuerdo con la información disponible, la Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó a las organizaciones aplicar parches de forma inmediata o bien desconectar los sistemas afectados.

A través de un comunicado difundido en la red social X, la NSA advirtió que estas fallas suelen otorgar un acceso directo al sistema de archivos o a la base de datos de los servidores. Asimismo, la entidad señaló que los atacantes tendrían la capacidad de emplearlas para adueñarse de servidores web sin requerir contraseñas.

Dado que PHP funge como base para plataformas populares de diseño web, la afectación potencial abarca una amplia gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales. Este descubrimiento se dio en un contexto de incremento en la divulgación de vulnerabilidades impulsado por modelos de inteligencia artificial, estimándose que las detecciones de 2026 podrían duplicar el récord del año previo.

El reporte indica que las fallas fueron notificadas en agosto por la firma de seguridad Calif y por OpenAI de manera independiente. Posteriormente, la empresa de seguridad en nube Wiz, propiedad de Google, identificó vías adicionales para su explotación. Los detalles se mantuvieron en reserva mientras se elaboraba un parche, pero una filtración en línea el martes aceleró los acontecimientos, precipitando desconexiones un día antes de la fecha prevista para la corrección.

Como respuesta, voluntarios del proyecto PHP publicaron un arreglo el miércoles, mientras que la PHP Foundation instó a actualizar de inmediato. A nivel internacional, Francia reportó la inaccesibilidad de sitios de administraciones locales, incluyendo la Prefectura de Policía de París, a solicitud de la agencia de ciberseguridad francesa. Por su parte, en Países Bajos se desconectaron de manera preventiva el servicio nacional de identidad digital DigiD, la Cámara de Representantes y el centro nacional de ciberseguridad.