Dos vulnerabilidades críticas en PHP, un lenguaje presente en buena parte de la web, provocaron este miércoles la desconexión temporal de algunos sitios mientras sus responsables aplicaban actualizaciones de seguridad. La alerta alcanzó a organismos públicos y otras entidades de Europa y Estados Unidos, en una respuesta preventiva ante fallas que podrían permitir la ejecución remota de código.
Según AP, la división cibernética del FBI advirtió que los errores podían exponer datos sensibles y redes. La agencia recomendó retirar temporalmente de línea los sitios que no pudieran actualizarse de inmediato. Entre los servicios afectados estuvo el portal del Gobierno finlandés, que avisó a sus visitantes de una disponibilidad parcial mientras resolvía la situación.
Qué ocurrió con PHP y por qué se apagaron sitios web
El equipo de seguridad de PHP confirmó en su aviso dos fallas que permiten ejecutar código de forma remota sin autenticación bajo determinadas condiciones. La primera se relaciona con la gestión de memoria cuando una solicitud agota los recursos disponibles; la segunda, con información interna que puede persistir entre solicitudes y ser reutilizada antes de reiniciarse correctamente.
El alcance potencial explica la urgencia, aunque usar PHP no implica que todos los sitios hayan sido atacados o que todas las instalaciones presenten el mismo nivel de exposición.
El riesgo depende de la versión, la configuración y la forma en que el servidor procesa las peticiones. Por eso, desconectar un servicio mientras se instala el parche puede ser una medida prudente, especialmente si no es posible actualizarlo con rapidez.
PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. También indicó que algunos distribuidores recibieron los cambios con antelación para preparar sus propios paquetes, un detalle relevante para empresas que dependen de proveedores de alojamiento o de sistemas con ciclos de actualización distintos.
La inteligencia artificial ayudó a detectar las fallas
La investigación también muestra el papel creciente de la inteligencia artificial en ciberseguridad. OpenAI explicó en una publicación que participó durante dos meses en una coordinación con investigadores, proveedores de seguridad y responsables de PHP.
Los mantenedores del lenguaje dirigieron las correcciones y su lanzamiento, mientras los demás participantes aportaron investigación y apoyo técnico para preparar defensas antes de divulgar el problema.
La detección asistida por IA permitió advertir sobre debilidades de gran impacto antes de divulgar públicamente sus detalles. Aun así, encontrar un fallo no resuelve por sí solo el riesgo: hay que comprobarlo, desarrollar una corrección, distribuirla y conseguir que miles de administradores la instalen. Ese tramo final suele ser el más visible para los usuarios cuando un sitio deja de funcionar durante unas horas.
Qué deben revisar los responsables de los sitios
La prioridad para quienes administran servicios basados en PHP es identificar la versión instalada y aplicar la actualización correspondiente, ya sea directamente o mediante su proveedor. Las ramas antiguas que dejaron de recibir soporte del proyecto requieren consultar al distribuidor sobre posibles parches adaptados o planificar una migración a una versión mantenida.
Las medidas temporales pueden reducir ciertas vías de exposición, pero el equipo del lenguaje aclara que no sustituyen una actualización completa. El episodio deja una lección práctica: la rapidez de la detección debe ir acompañada por una distribución ágil de parches y por planes que permitan proteger los servicios sin prolongar innecesariamente las interrupciones.
