La Agencia de Ciberseguridad de Estados Unidos (CISA) ha confirmado oficialmente que hackers están explotando activamente dos vulnerabilidades críticas en el lenguaje de programación PHP, conocidas como php2shell. Esta confirmación, realizada el lunes, marca un punto de inflexión en la historia de la seguridad web, ya que, aunque los desarrolladores habían publicado parches urgentes la semana pasada, los atacantes lograron ejecutar código malicioso en sistemas reales. CISA ha añadido estas vulnerabilidades al catálogo de "Vulnerabilidades Conocidas Explotadas" y ha ordenado a las agencias federales civiles de EE. UU. que corrijan sus sistemas en un plazo máximo de tres días.
El incidente se originó cuando investigadores de la firma de seguridad Calif descubrieron un método para explotar estas dos vulnerabilidades, que habían permanecido latentes durante años. Según TechCrunch, la fundación sin fines de lucro que mantiene el proyecto PHP, que cuenta con un solo empleado a tiempo completo, admitió que no existía una forma práctica de explotarlos hasta que la inteligencia artificial permitió identificar la cadena de fallos. La vulnerabilidad, que permite a los atacantes entrar remotamente en un sistema sin necesidad de contraseña, afecta a aproximadamente el 70% de los servidores orientados a la web, lo que pone en riesgo a grandes sitios web y aplicaciones globales.
Los primeros indicios de un ataque exitoso aparecieron el fin de semana. Adel Karimishiraz, responsable de Detección y Respuesta en la empresa de IA Perplexity, operaba trampas (honeypots) con PHP y observó una serie de anomalías. En las primeras 26 horas tras la publicación de los parches, Karimishiraz documentó 30 problemas de memoria y 11 caídas de procesos de trabajo, pero inicialmente no pudo confirmar la ejecución de código malicioso. Sin embargo, el sábado por la noche, confirmó que sí había observado la ejecución de código inyectado. Su análisis detallado en GitHub revela que se iniciaron 35 shells en tres honeypots con PHP 8.4.26, con ataques procedentes de dos direcciones IP distintas. Esta evidencia técnica fue la base sobre la cual CISA emitió su alerta.
La reacción de la industria ha sido inmediata y, en algunos casos, desordenada. Ante la gravedad de la amenaza, numerosas organizaciones retiraron sus sitios web del servicio para aplicar los parches preventivamente. No obstante, la mayoría de estos sistemas ha vuelto a estar en línea. Mientras tanto, las cifras de exposición siguen siendo alarmantes. Censys, una empresa de ciberseguridad, reportó que en las primeras horas del martes, su escáner de vulnerabilidades aún detectaba más de 4 millones de servicios que se identificaban con versiones vulnerables de PHP. Aunque Censys aclara que varias distribuciones de Linux aplican parches retroactivos a versiones antiguas, lo que hace que las cifras sean una estimación y no la realidad total, el número de sistemas expuestos sigue siendo inaceptablemente alto.
El contexto de este incidente resalta la creciente capacidad de la inteligencia artificial para descubrir y explotar vulnerabilidades complejas. Durante años, estas fallas fueron depriorizadas o ignoradas debido a la falta de recursos para su revisión de seguridad. La capacidad de los modelos de IA para encadenar múltiples fallos ha transformado el panorama de la ciberseguridad, haciendo que las vulnerabilidades antiguas sean tan peligrosas como las nuevas. La confirmación de CISA no solo sirve como una advertencia técnica, sino como un recordatorio de que la obsolescencia de las tecnologías web sigue siendo un riesgo sistémico. La presión sobre las organizaciones para parchear sus sistemas se ha intensificado, ya que la explotación "in-the-wild" (en el mundo real) elimina la ambigüedad sobre la gravedad de la amenaza, forzando a las empresas a priorizar la seguridad sobre la continuidad operativa a corto plazo.