NSA pide parches inmediatos; la falla afecta plataformas web y servicios gubernamentales globales
Agencias gubernamentales y empresas de todo el mundo cerraron sitios web el miércoles tras detectarse dos fallas críticas en PHP, el lenguaje que sostiene gran parte de internet. La NSA instó a aplicar parches de inmediato o desconectar sistemas vulnerables.
Las fallas, reportadas en agosto por la firma de seguridad Calif y por OpenAI, fueron señaladas de forma independiente el mismo día. Posteriormente, Wiz, empresa de seguridad en la nube propiedad de Google, informó de más formas de explotarlas. En ese momento se comunicaron en privado a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una corrección.
Los detalles se filtraron en línea el martes, un día antes del lanzamiento previsto, lo que provocó una carrera contrarreloj para desconectar sitios. La NSA advirtió en X que las fallas 'a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor', y que los atacantes podrían tomar control de servidores web sin necesidad de contraseña.
POP sirve de base para populares plataformas de diseño web, por lo que las debilidades afectan potencialmente a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales. Voluntarios del proyecto PHP publicaron una corrección el miércoles para subsanar el problema. 'Si utiliza PHP, es imperativo actualizarlo de inmediato', señaló en un blog la PHP Foundation, que financia a los desarrolladores del lenguaje.
El hallazgo se produjo en medio de un auge de divulgaciones sobre seguridad de software impulsado por modelos de inteligencia artificial cada vez más potentes. De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord alcanzado el año pasado. En Francia, sitios de administraciones locales, incluida la Prefectura de Policía de París, son inaccesibles desde la tarde del miércoles a petición de la Agencia Nacional de Ciberseguridad francesa. En Países Bajos, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el del centro nacional de ciberseguridad se desconectaron como medida de precaución, según la radiodifusora pública NOS.
