La NSA insta a desconectar sitios con PHP sin parches ante ataques

Gobiernos y empresas de todo el mundo desconectaron sus sitios web el 21 y 22 de octubre para corregir dos fallos críticos en PHP, el lenguaje de programación que sustenta cerca del 70% de los sitios web. La Agencia de Seguridad Nacional de EE. UU. (NSA) indicó a las organizaciones que no puedan actualizar de inmediato que mantengan sus sistemas fuera de línea hasta que la solución esté implementada. Los dos errores, apodados PHP2Shell, fueron descubiertos con ayuda de IA. A las pocas horas de su divulgación, los atacantes intentaban explotarlos millones de veces.nsa.gov

Parches y advertencias

Las vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, permiten a un atacante ejecutar código en un servidor web de forma remota sin necesidad de iniciar sesión. Todas las versiones de PHP desde la 5.4 están afectadas por al menos una de ellas. PHP lanzó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre. La NSA señaló que los errores son "fallos en el propio PHP, no en la aplicación alojada", y que los ciberdelincuentes "probablemente los utilizarán como arma". El Centro Nacional de Ciberseguridad del Reino Unido ofreció recomendaciones similares.security.truenas.com+3

Investigadores de OpenAI, en California, y de Wiz, propiedad de Google, encontraron los fallos utilizando modelos de IA de frontera. "Un solo investigador completó en una semana lo que antes le habría tomado meses de trabajo a un equipo de clase mundial", escribió Wiz. Los detalles se filtraron antes de que las soluciones estuvieran listas. El CEO de Cloudflare, Matthew Prince, dijo que los intentos de explotación pasaron de miles antes del anuncio a "millones ahora".rmb.reuters.com+1

De Helsinki a Tokio

El proveedor federal de TI de Alemania, los sitios web de las prefecturas de Francia y el ministerio de exteriores de Bélgica desconectaron sus portales. El gobierno checo cerró su sitio web el miércoles por la noche. En Japón, Nomura, Mitsubishi UFJ Financial Group, ANA y East Japan Railway suspendieron algunos servicios en línea, y la Agencia Nacional de Impuestos retiró brevemente su servicio. Orange restringió el acceso a algunos sitios. Corea del Sur elevó su nivel de alerta cibernética para el sector privado. "No he visto nada igual en mucho, mucho tiempo", dijo el jueves el CEO de Microsoft, Satya Nadella. La agencia estatal de TI de Finlandia, Valtori, advirtió que restaurar los servicios "puede llevar días o incluso semanas".reuters.com+1

Un día difícil para la ciberseguridad

Otros problemas surgieron también el 21 de octubre. Node.js parcheó cuatro fallos de alta gravedad, uno de los cuales permitía la ejecución remota de código. Un atacante comprometió LiteLLM, un popular proxy de IA de código abierto, y publicó versiones maliciosas que robaron credenciales. La autoridad de certificación india eMudhra también vio comprometidas sus claves privadas, lo que podría permitir a los atacantes emitir certificados fraudulentos.tech.yahoo.com

Wiz comparó PHP2Shell con el error Heartbleed de 2014. Afirmó que los fallos subyacentes "habían estado presentes durante décadas", pero que la IA "redujo sustancialmente" la barrera para convertirlos en una amenaza explotable.edition.cnn.com