Tareas del día a día en internet, como consultar una cuenta bancaria, comprar un billete para viajar o hacer un trámite administrativo online, se han encontrado en las últimas 24 horas con un serio obstáculo: empresas y gobiernos de todo el mundo habían desconectado las páginas web con las que los ciudadanos realizan esas gestiones.

Organizaciones públicas y privadas tomaron esta decisión como precaución tras desvelarse este martes dos fallos críticos —descubiertos por una inteligencia artificial— en el lenguaje de programación PHP, usado en casi el 70% de las webs.

Cloudflare, empresa estadounidense de ciberseguridad y distribución de contenidos online, informaba en la madrugada de este jueves de millones de intentos de ataque tras la divulgación de las vulnerabilidades. “En las 10 horas previas a su anuncio público, observamos en nuestra red miles de intentos de explotarlo. Eso saltó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas y a millones ahora”, afirmaba el consejero delegado de Cloudflare, Matthew Prince, en una publicación en X, a primera hora de la madrugada de este jueves.

Las desconexiones preventivas, que han provocado atascos en la vida online en muchos países, quedaban justificadas por el temor a que esos ataques logren robos de datos o cambios de contenidos en las webs vulnerables. Esos problemas, junto con interferencias en los servicios, son posibles porque las brechas de seguridad permiten a los atacantes ejecutar instrucciones en los servidores afectados sin necesidad de identificarse con contraseña.

En España, el Instituto Nacional de Ciberseguridad (INCIBE) ha emitido una alerta que insta a actualizar de inmediato las webs a las versiones de PHP que se publicaron ayer para corregir los fallos; y también recomienda, si no es posible aplicar urgentemente esos parches, una serie de medidas temporales para mitigar la exposición a los ataques. Además, el comunicado del organismo oficial recuerda que la actualización es la única solución completa, y que “si no se puede actualizar un sistema expuesto a Internet, se debe aislarlo de las redes públicas”.

El 12% de las administraciones y empresas españolas están siendo blanco de los intentos de ataque, según un comunicado de la empresa de ciberseguridad Check Point Research, que señala que ese porcentaje es menor que en otros países “que han desconectado sus webs por precaución, como Finlandia y Países Bajos”.

Según fuentes del Ministerio de Transformación Digital, de momento no consta ningún problema provocado por esos ciberataques al PHP “ni en webs de ministerios ni de agencias e instituciones estatales”, y que estas organizaciones están viviendo esta alerta mundial “como una actualización más de sus sistemas informáticos”.

El lenguaje que dio una nueva vida a internet

Las dos vulnerabilidades, conocidas en conjunto como PHP2Shell, habían permanecido años ocultas dentro del código de muchos millones de páginas en internet, desde sitios como la Wikipedia hasta buena parte del armazón sobre el que se construyó la red social Facebook, pasando por el software WordPress, ampliamente usado para publicar y mantener sitios web. El lenguaje PHP fue una de las claves que dio vida a la llamada Web 2.0, cuando las páginas estáticas de los años 90 dieron paso a los servicios interactivos y redes sociales que en los 2000 revolucionaron internet.

Y la manera de desvelar esas vulnerabilidades ha generado un problema a escala global. “Los detalles de estos fallos se hicieron públicos antes de que las correcciones estuvieran listas, y desde entonces se han notificado ataques”, afirmó Madeline Lawrence, cofundadora de la empresa belga de ciberseguridad Aikido Security. “Así que las empresas están corriendo para actualizar sus sistemas frente a atacantes que pueden usar la IA para explotarlos. Esa es toda la carrera.”

Unos corren para corregir los fallos críticos en sus páginas web que usan el lenguaje PHP, dejándolas protegidas antes de volver a conectarlas. Otros intentan aprovechar los agujeros descubiertos para cobrarse su botín. Y ambos bandos están usando la IA como aliada para sus propósitos. También lo hicieron los investigadores que descubrieron las PHP2Shell, dentro de la iniciativa Parchea el planeta, promovida por OpenAI el pasado mes de agosto.

Los cierres de emergencia de servicios bancarios, aéreos, ferroviarios, fiscales y gubernamentales que han ido cruzando el mundo muestran hasta qué punto los sistemas públicos y privados dependen del PHP, y lo difícil que resulta corregir rápidamente estos fallos una vez que se hacen públicos. El miércoles, la PHP Foundation —la organización que mantiene desde 2021 ese lenguaje de programación— publicó un parche urgente de software para tapar las vulnerabilidades destapadas un día antes, e instó a los usuarios a “actualizar de inmediato” sus sistemas.

Comenzó así una carrera contra el reloj para responsables de ciberseguridad de empresas y administraciones. “Ha sido un día largo y una noche larga, lo sé, para todos los equipos de informática y seguridad. Hacía mucho, mucho tiempo que no veía nada igual”, dijo el consejero delegado de Microsoft, Satya Nadella, en un acto de la compañía celebrado este jueves en Colonia (Alemania).

De Japón a Finlandia

Empresas japonesas como la correduría Nomura, la entidad financiera Mitsubishi UFJ Financial Group, la aerolínea ANA y East Japan Railway dijeron el jueves que suspendían temporalmente algunos servicios de internet como parte de medidas de emergencia.

La aseguradora Tokio Marine Holdings indicó que había suspendido el sitio web de una empresa del grupo. Tencent Cloud, uno de los mayores proveedores de computación en la nube de China, instó a sus clientes a instalar las versiones actualizadas de PHP, pero no llegó a pedir cierres generalizados de sitios web.

El Ministerio de Industria chino instó a organizaciones y usuarios a revisar de inmediato sus sistemas y a actualizar a la última versión segura de PHP. Corea del Sur elevó el nivel de alerta de ciberseguridad del sector privado y activó medidas de respuesta de emergencia, alegando preocupación por un mayor riesgo de ataques informáticos.

Al otro lado del globo, el grupo de telecomunicaciones francés Orange declaró que había suspendido temporalmente el acceso a determinados sitios web y aplicaciones basados en PHP en varias de sus filiales como precaución.

En Finlandia, el proveedor estatal de servicios informáticos, Valtori, aseguró en la mañana del jueves que había seguido instalando parches de seguridad de PHP durante la noche y que iba levantando gradualmente los bloqueos preventivos, tras cerrar los servicios web públicos del Gobierno un día antes.

“Restablecerlos puede llevar días o incluso semanas, ya que, además de las actualizaciones, los sistemas deben probarse con cuidado”, afirmó en un comunicado el director general de Valtori, Hannu Naumanen. Valtori señaló que las interrupciones no se debieron a ataques que explotasen las vulnerabilidades ni a una brecha cibernética, sino a la prevención de desconectar servicios.

Fuente:  https://elpais.com/tecnologia/2026-10-22/millones-de-intentos-de-ataque-en-pocas-horas-tras-destaparse-fallos-graves-en-miles-de-webs.html#utm_source=whatsapp&utm_medium=social&utm_campaign=wh