Una falla crítica detectada en PHP, el lenguaje que da soporte a buena parte de los sitios web del mundo, llevó a gobiernos de Finlandia, Países Bajos y Francia a desconectar preventivamente portales públicos durante esta semana, incluso antes de contar con una solución definitiva. El caso, conocido como PHP2Shell, corresponde a dos vulnerabilidades con una gravedad de 9,2 sobre 10 en la escala CVSS, que permiten a un atacante ejecutar comandos en un servidor sin necesidad de iniciar sesión. Marco Aravena, director general de Modernización y Transformación Digital de la Universidad de Valparaíso y académico de Ingeniería Civil Informática, explicó a través de un comunicado de la casa de estudios el alcance del problema y su eventual impacto en Chile.

Según detalló Aravena, PHP es utilizado por cerca de siete de cada diez sitios web cuyo lenguaje de servidor se puede identificar, de acuerdo a mediciones de W3Techs, y es la base de los gestores de contenido más usados a nivel global, como WordPress, Drupal, Joomla y Magento. Por tratarse de una falla en el motor y no en una extensión particular, el académico remarcó que el problema se hereda en todos los sitios construidos sobre estos sistemas, aunque estén con sus plugins al día, lo que explica la magnitud de la alerta.

Sobre el origen del hallazgo, Aravena señaló que existen dos versiones: una, recogida por el Wall Street Journal, atribuye el descubrimiento al investigador Ryan Austin, quien habría encontrado la forma de explotar la falla en agosto de este año con apoyo de un modelo de inteligencia artificial de OpenAI; otra, basada en información de Reuters, apunta a la empresa de ciberseguridad Wiz, de Alphabet, que habría usado su herramienta Wiz Atlas junto a modelos de Google y OpenAI para dar con fallas que llevarían más de una década ocultas en el código. El aviso a los responsables de PHP se realizó el 11 de agosto, y la publicación del parche, prevista originalmente para el 22 de octubre, debió adelantarse al día anterior luego de que la información se filtrara en el sitio Hacker News y Cloudflare detectara los primeros intentos de ataque. El parche ya está disponible en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

En el plano local, Aravena recordó que el 21 de octubre el CSIRT Nacional de la Agencia Nacional de Ciberseguridad de la Información (ANCI) emitió la alerta AVC26-00740, llamando a todas las organizaciones que utilizan PHP a actualizar sus sistemas de inmediato. El académico precisó que la existencia de esta alerta no implica que haya sitios chilenos comprometidos, pero sí que el riesgo es real y que el margen de tiempo para actuar es acotado, considerando que en el país operan sobre PHP páginas de organismos públicos, empresas, tiendas en línea y plataformas educativas.

Entre sus recomendaciones para quienes administran sitios web, Aravena sugirió consultar al proveedor de hosting sobre la versión de PHP instalada, respaldar la información antes de aplicar cualquier actualización y verificar que ese respaldo pueda restaurarse. Advirtió además que las versiones 8.1 y anteriores de PHP no cuentan con parche oficial, por lo que en esos casos corresponde evaluar una migración, y que la versión 8.2 llegará al final de su ciclo de soporte el 31 de diciembre de 2026. Para las instituciones obligadas por la Ley 21.663, el académico instó a revisar los canales y plazos de reporte del CSIRT Nacional ante cualquier señal de actividad anómala en sus sistemas.