PHP-ocalypse: Cómo dos errores web críticos casi destruyen Internet

El miércoles, una tecnología web de código abierto de décadas de antigüedad llamada PHP casi rompió Internet, gracias a dos vulnerabilidades que habían permanecido inactivas durante años hasta que los investigadores recientemente descubrieron una manera de explotarlas.

Los errores se denominan PHP2Shell, oficialmente designados como CVE-2026-109618 y CVE-2026-109619. En términos simples, los errores permiten a cualquiera que sepa cómo explotarlos ingresar a un sistema en línea que ejecuta PHP, como un sitio web o un servidor con acceso a Internet, sin necesidad de una contraseña para acceder o modificar sus datos.

A medida que avanzan las situaciones, esta fue bastante considerable, lo que obligó a millones de personas en todo el mundo a luchar para parchear sus sistemas antes de que piratas informáticos maliciosos pudieran abusar de ellos.

La Fundación PHP, que mantiene el software web PHP, lanzó públicamente parches el miércoles que corrigieron los errores, que cuando se instalan evitan que los servidores web sean atacados. La fundación ya había dado a algunas de las mayores empresas de Internet y servidores web que dependen de PHP una ventaja temprana en materia de parches.

Gracias a semanas de conversaciones entre bastidores y una cuidadosa coordinación en toda la industria, el mundo, hasta ahora, evitó en gran medida la explotación masiva de Internet. A partir del miércoles, los gobiernos comenzaron a instar a los ciudadanos y a las empresas con sitios web a tomar medidas para mitigar los riesgos para ellos. Una amplia gama de industrias cerraron sus sitios web y desconectaron servicios para parchear sus sistemas. Bancos, minoristas, sitios de juegos, tiendas en línea, hospitales y algunas agencias gubernamentales desconectaron sus servidores para evitar ataques.

Pero los investigadores de seguridad advierten que la situación aún no ha terminado y que una gran cantidad de sistemas en todo el mundo siguen sin parches y son vulnerables a ataques y robo de datos.

También es poco probable que este sea el último gran susto sobre el software de Internet, y algunos esperan que la llegada de la IA descubra rápidamente vulnerabilidades aún no descubiertas que esperan ser encontradas y abusadas.

¿Qué pasó?

Los investigadores de seguridad de California encontraron dos errores en PHP, un lenguaje de programación ampliamente utilizado en todo el mundo para crear sitios web y aplicaciones web, tanto en Internet como alojados localmente en redes de la empresa, como intranets y sitios internos.

PHP es de código abierto, lo que significa que es gratuito y está disponible para que cualquier persona lo utilice por casi cualquier motivo. Como tal, se ha convertido en uno de los lenguajes de programación web más populares y utilizados en la web en la actualidad.

Los dos errores se descubrieron por primera vez en 2024, pero no se consideraron explotables en ese momento y no fueron parcheados. Los investigadores de seguridad encontraron recientemente una manera de explotarlos, lo que les llevó a alertar a los creadores del software para que los solucionaran.

Calif alertó a la Fundación PHP, que comenzó un período de corrección de errores y divulgación coordinada. La fundación hizo esto ofreciendo información y parches sobre los problemas de seguridad bajo un embargo estrictamente vigilado (básicamente mantenido de forma confidencial hasta una fecha límite específica) para dar a las grandes empresas la oportunidad de adelantarse a la instalación de las correcciones.

¿Por qué los errores son tan graves?

PHP2Shell es bastante serio porque se puede abusar de él de forma remota a través de Internet y sin que la víctima tenga que hacer clic en un enlace o abrir un archivo. Esto se conoce como ejecución remota de código y es uno de los tipos de errores más dañinos de explotar porque pueden otorgarle a un hacker en cualquier parte del mundo control total y efectivo sobre un sistema afectado y sin parches.

Peor aún, estos errores específicos de PHP hacen posible ingresar a cualquier sistema sin parches en Internet sin necesidad de una contraseña ni ninguna otra credencial a través de Internet, lo que se conoce como acceso no autenticado.

Esto permitiría a un pirata informático malicioso colocar malware en la computadora, por ejemplo para robar datos o simplemente para mantener un punto de apoyo a largo plazo al que pueda regresar más adelante.

¿Por qué el 70% de la web se vio afectada?

Los errores son particularmente riesgosos porque PHP es un software tremendamente popular, en parte porque es gratuito y relativamente fácil de usar, pero también porque existe desde hace décadas. Alrededor del 70% de la conexión a Internet depende de PHP, aunque su uso ha ido disminuyendo lentamente a lo largo de los años en favor de lenguajes de programación más nuevos y seguros.

Dada su popularidad, algunos de los sitios web más populares del mundo se ejecutan en software web que depende de PHP, como WordPress (que alberga TechCrunch), así como Drupal, Joomla y MediaWiki, que impulsa al gigante de las enciclopedias en línea Wikipedia.

PHP es solo una de las muchas tecnologías obsoletas pero funcionales que han sobrevivido a las oleadas de Internet y a generaciones que ahora son tan ubicuas que son similares al pegamento que mantiene unida a gran parte de Internet. A menudo, estas herramientas son desarrolladas por mantenedores de código abierto, a quienes no se les paga por el trabajo que realizan y, como tales, no pueden permitirse revisiones de seguridad de terceros, pero aún así son ampliamente utilizadas por empresas que no contribuyen financieramente a los proyectos.

¿Se utilizó IA para descubrir los errores?

A los investigadores de seguridad de California se les atribuyó el mérito de haber descubierto los errores a principios de este año como parte de una auditoría de seguridad del código PHP. Calif participaba en la iniciativa Hack the Planet del fabricante de modelos de inteligencia artificial OpenAI y el gigante de seguridad en la nube Wiz, que posteriormente verificó las pruebas de concepto que realizó Calif.

En el artículo de Calif (que incluye cómics; es genial, échale un vistazo), los investigadores explicaron que se utilizó IA para ayudar a explotar el error, pero que la mayor parte del trabajo se basó en el conocimiento que los investigadores ya tenían y que conocían bien el código base de PHP y su historial de explotación.

«Ningún modelo es capaz de descubrir ‘todos los errores’ con indicaciones simples. Al menos por ahora», escribió California.

¿Por qué se explotaron los errores antes de su divulgación?

A pesar de los esfuerzos por mantener en secreto los detalles de los errores hasta el miércoles, parece que hubo cierta explotación de PHP2Shell antes del lanzamiento de los parches.

Amazon, que tiene una enorme visibilidad de las amenazas en línea debido a su tamaño y escala, dijo en una publicación de blog que detectó la explotación de PHP2Shell aproximadamente una semana antes de que los parches de PHP estuvieran disponibles, lo que sugiere que alguien, en algún lugar, sabía cómo explotar los errores antes de que sus detalles estuvieran ampliamente disponibles. Amazon dijo que no estaba claro cómo el hacker se enteró de las vulnerabilidades, pero que los defensores deberían buscar evidencia de explotación a partir del 17 de octubre.

Hay algunas teorías sobre lo que sucedió. Una vez que se corrige un error, los detalles del parche pueden volverse evidentes de inmediato, especialmente si el código (como en el caso de PHP) es de código abierto, lo que lo hace público e inspeccionable. Explotar los errores puede no ser fácil, pero saber dónde está el error y cómo se solucionó puede permitir a los piratas informáticos malintencionados comprender dónde apuntar y cómo desarrollar sus exploits.

Es posible que haya habido una filtración o una interrupción en la comunicación en algún momento durante el embargo. La comunidad de código abierto es enorme y controlar la información de esta manera depende de la buena fe.

También es posible que los piratas informáticos descubrieran los errores antes de tiempo, ya sea de forma independiente o mediante espionaje.

La Fundación PHP culpó a una empresa por publicar los parches horas antes de que finalizara el período de embargo, lo que podría haber dado a algunos atacantes una ventaja si obtuvieran los detalles del parche antes que otros. Pero esto no tiene en cuenta la actividad de una semana detectada por Amazon.

Los investigadores dicen que los errores requieren mucho trabajo para ser explotables y convertirlos en armas ha sido un desafío, pero no imposible, lo que explica por qué no hemos visto una escala de explotación masiva todavía.

Pero a última hora del viernes, ya hay compromisos confirmados y actividad posterior a la explotación relacionada con el error de PHP, según los gigantes de la seguridad Palo Alto Networks y Trail of Bits. Eso significa que se detectó que se estaba abusando del error para piratear y realizar activamente actividades maliciosas en un objetivo aún desconocido.

Gran parte de Internet se cerró, pero está regresando. ¿Evitamos lo peor?

Aún es pronto, pero es una señal alentadora que no haya habido signos de explotación masiva, aunque todavía no estamos fuera de la zona de peligro.

Matthew Prince, director ejecutivo del gigante de monitoreo y seguridad de redes Cloudflare, que también tiene telemetría en una gran parte de Internet, dijo esta semana que ha visto un número exponencial de intentos de explotar los errores después de su divulgación. Esto da una perspectiva de la rapidez con la que los actores maliciosos buscan abusar de los fallos para su propio beneficio.

PHP no sólo se encuentra en servidores web, sino que también se utiliza en herramientas de desarrollo, paquetes de terminales y líneas de comandos, y otros componentes de software utilizados por enrutadores, dispositivos de almacenamiento y dispositivos de seguridad empresarial, como firewalls y VPN.

Deberíamos esperar ver explotación de PHP2Shell en el futuro, ya que los equipos de TI más pequeños y los desarrolladores únicos pueden tardar más en actualizar. También habrá un período en el que varias empresas que dependen e integran PHP en sus propios productos y software, que también necesitarán actualizaciones.

A medida que se actualicen más dispositivos y sistemas, la superficie de ataque se reducirá con el tiempo. Pero los efectos dominó de estos errores aún podrían sentirse en los años venideros, particularmente en los sistemas heredados que no tienen medios para actualizarse.

¿Esto volverá a suceder?

Este fue uno de esos raros días en los que Internet se detuvo durante mi tiempo como reportero de seguridad. En 2016, una enorme botnet inundó el registro de Internet Dyn con tráfico basura, lo que provocó que muchos de los principales servicios de la web se detuvieran. En 2017, Corea del Norte utilizó herramientas de piratería informática del gobierno estadounidense filtradas para infectar el sistema de salud del Reino Unido con ransomware. Y en 2024, una actualización defectuosa de CrowdStrike provocó una interrupción global masiva que provocó que la mayoría de las computadoras con Windows del mundo fallaran al mismo tiempo.

Según todos los informes, con PHP2Shell, Internet escapó de lo que de otro modo podría haber sido un día extremadamente doloroso y dañino. Pero es poco probable que sea el último incidente importante que llegue a la web, y este puede ser el primero de una tendencia de incidentes que explotan las debilidades de la tecnología heredada. Gran parte de esto se debe a fallas inherentes en el software antiguo pero omnipresente que aún no se ha descubierto, junto con herramientas de inteligencia artificial que hacen que sea más fácil encontrar fallas.

PHP, al igual que otros lenguajes y tecnologías de programación web de hace décadas, no es seguro para la memoria, lo que significa que puede ser atacado a través de toda una clase de vulnerabilidades que pueden obligar al software a filtrar o derramar datos confidenciales del almacenamiento de memoria del software. La Agencia de Seguridad Nacional dice que alrededor del 75% de todas las vulnerabilidades explotadas activamente abusan de fallas relacionadas con la memoria, es decir, los piratas informáticos las usan mucho.

Esto ha ayudado a impulsar el uso de lenguajes seguros para la memoria, como Python, Rust y Swift, de los que no se puede abusar de la misma manera que se puede abusar de las vulnerabilidades de la memoria. Como tal, estos lenguajes los hacen ampliamente inmunes a una amplia gama de vulnerabilidades que aún afectan a sus predecesores.

Pero eso todavía deja a una gran parte de Internet ejecutando un montón de tecnologías, como PHP, códecs multimedia y de video, bibliotecas de compresión y otro software de hace décadas, que, cuando Si se rompen, tendrá enormes implicaciones para el resto de la web.