Una alerta de seguridad sobre PHP, la tecnología que opera en el servidor y está detrás de gran parte de las páginas web, desató una carrera global para actualizar sistemas. El martes 20 de octubre, los desarrolladores de PHP informaron haber identificado dos vulnerabilidades críticas. Este miércoles se publicaron los parches y se pidió a los administradores que los apliquen de inmediato.

Las fallas podían permitir que, bajo ciertas condiciones, un atacante envíe una solicitud desde Internet a un servidor vulnerable y haga ejecutar instrucciones sin requerir contraseñas. En la práctica, esto podría abrir puertas a archivos sensibles, bases de datos o afectar el funcionamiento de una página. Ambas vulnerabilidades obtuvieron una puntuación de gravedad de 9,2 sobre 10.

La respuesta ya mostró efectos observables. Sitios gubernamentales de varios países europeos quedaron fuera de servicio temporalmente mientras se evaluaba el riesgo o se implementaban las actualizaciones. También se desactivaron temporalmente ciertos sistemas de la organización que gestiona Wikipedia y, por un breve periodo, Internet Archive. En estos casos, las interrupciones fueron medidas de protección y no indicaron necesariamente un hackeo.

El alcance potencial de las vulnerabilidades explica la urgencia. Según W3Techs, PHP está presente en el 69,3% de los sitios cuyo servidor puede identificarse; este dato ilustra la penetración de la tecnología en la infraestructura web, aunque no implica que esa proporción de Internet esté atacada o expuesta de la misma forma.

PHP es un lenguaje de programación que se ejecuta en el servidor para buscar información, procesarla y generar el contenido que luego llega al navegador del usuario. Por ello, una falla en PHP puede afectar a sitios muy diversos: desde tiendas online y plataformas de gestión de contenidos como WordPress, hasta portales institucionales o blogs.

El equipo de seguridad de PHP publicó la advertencia antes de revelar los detalles de las dos vulnerabilidades, reiterando la gravedad de 9,2/10 y solicitando a los administradores que se prepararan para aplicar las correcciones. La divulgación de los parches quedó fijada para el miércoles 21 a las 14:00 UTC (11:00 en Argentina). En la versión original se había indicado otra fecha (jueves 22). La PHP Foundation aclaró que, el martes, comenzaron a circular en foros y redes identificadores de las fallas acompañados de información errónea sobre su gravedad y el momento de publicación, por lo que adelantaron tanto el aviso como la disponibilidad de las correcciones.