Una alerta de seguridad sobre PHP, la tecnología que opera detrás de gran parte de los sitios web, desencadenó una carrera mundial por actualizar sus servidores. El martes 20 de octubre, los creadores de PHP informaron haber identificado dos vulnerabilidades de alto impacto y, al día siguiente, difundieron las correcciones y pidieron instalarlas de inmediato.

Las fallas permiten, en condiciones específicas, que un atacante envíe una petición desde Internet hacia un servidor vulnerable y haga que este ejecute órdenes sin necesidad de contraseña. En consecuencia, podría obtenerse acceso a archivos, bases de datos o al correcto funcionamiento de una página. Ambas vulnerabilidades fueron calificadas con una puntuación de gravedad de 9,2 sobre 10.

La reacción produjo efectos visibles en distintos rincones del mundo. Diversos sitios gubernamentales europeos estuvieron fuera de servicio por periodos breves mientras sus responsables evaluaban el riesgo y aplicaban las actualizaciones necesarias. También se suspendieron temporalmente algunos sistemas de Wikipedia y, por un breve lapso, Internet Archive. En estos casos, las interrupciones respondían a una medida de protección, ya que la falta de funcionamiento de una página no implica, por sí sola, una intrusión.

El alcance potencial de las fallas ayuda a entender la urgencia de la respuesta. Según W3Techs, una firma que mide el uso de tecnologías web, PHP está presente en el 69,3% de los sitios cuyo servidor puede identificarse. Ese porcentaje no significa que esa proporción del internet esté atacada, ni que todos los sitios presenten el mismo grado de exposición, pero ilustra cuán extendida está la tecnología afectada.

PHP es un lenguaje de programación que opera en el servidor de cada sitio. Cuando un usuario accede a una página, ese servidor puede usar PHP para consultar datos, procesarlos y armar el contenido que ve el visitante, sin divulgar el código fuente.

De cara a ejemplos prácticos, PHP interviene, por ejemplo, al mostrar productos en una tienda online, al registrar una compra o al gestionar una cuenta. También forma parte de WordPress y de otras plataformas utilizadas para crear blogs, medios, comercios y portales institucionales. Por eso, una falla en PHP puede impactar a sitios muy distintos entre sí.

El equipo de seguridad de PHP emitió una advertencia previa a la publicación de los detalles técnicos de las vulnerabilidades, señalando la gravedad de 9,2 y exhortando a los administradores de servidores a prepararse para la actualización. La divulgación de las correcciones estaba programada para el miércoles 21 a las 14:00 UTC (11:00 en Argentina). Aunque la fecha original indicada era el jueves 22, la PHP Foundation aclaró que el martes comenzaron a circular identificadores de las fallas en foros y redes, acompañados de información errónea sobre su severidad y el momento de la publicación. El equipo adelantó tanto la advertencia como la actualización para contener la amenaza.