La inteligencia artificial ha detectado una vulnerabilidad crítica en PHP, una tecnología que sustenta hasta el 70% de las páginas web del mundo.
Los creadores de PHP revelaron este miércoles un fallo de seguridad crítico que los piratas informáticos podrían aprovechar para tomar el control de cualquier sistema que ejecute su software. Esta tecnología sustenta hasta el 70% de las páginas web del mundo, según Elmundo. La vulnerabilidad, bautizada como PHP2Shell, afecta la forma en que PHP gestiona la memoria de un ordenador y permite a los atacantes robar información o lanzar ciberataques contra los visitantes de una página web pirateada.
Volker Dusch, ingeniero de seguridad de la fundación sin ánimo de lucro que gestiona el proyecto PHP, calificó el problema como el más grave al que se ha enfrentado la tecnología en más de una década. Dusch comparó la situación con Heartbleed, una vulnerabilidad de alcance similar que hace más de diez años provocó una carrera mundial para proteger cientos de miles de servidores.
El descubrimiento mediante inteligencia artificial y la auditoría de Calif
Los investigadores de seguridad descubrieron la vulnerabilidad utilizando sistemas avanzados de inteligencia artificial. Durante una revisión del código fuente de PHP efectuada en agosto, GPT-5.6 Sol —uno de los modelos más sofisticados de OpenAI— asistió a Ryan Austin, especialista de la firma de seguridad Calif, en la identificación de los fallos. OpenAI financió dicha auditoría dentro de una iniciativa para ayudar a los proyectos de código abierto a subsanar vulnerabilidades de software.
Según explicó Thai Duong, director ejecutivo de Calif, el fallo llevaba años oculto en el código fuente de PHP. Un investigador de seguridad ya lo había señalado décadas antes, pero la vulnerabilidad se consideraba demasiado difícil de explotar y había caído prácticamente en el olvido. Con apenas unas pocas docenas de solicitudes dirigidas a un servidor con PHP operativo, Austin consiguió averiguar el modo de dominar el código que corría en la memoria del equipo. En sistemas más pequeños, el ataque solo toma unos segundos, mientras que en los complejos puede llevar horas.
Cualquier tipo en Twitter podría coger los parches, aplicarles la IA y publicar algún script de explotación. Se desatará el caos.
Thai Duong, director ejecutivo de Calif
El 11 de agosto, Duong se puso en contacto con Volker Dusch de PHP para advertirle sobre la gravedad del problema. Tras un momento inicial de desconcierto, se formó un grupo de trabajo informal entre investigadores de seguridad, ingenieros de software, distribuidores y empresas de seguridad. Equipos como el de ciberseguridad Wiz de Google y los investigadores de OpenAI colaboraron de forma independiente para descubrir nuevos exploits y buscar soluciones.
La carrera contra el tiempo y el parche de PHP2Shell
Ami Luttwak, cofundador de Wiz, afirmó que PHP2Shell es la vulnerabilidad de IA más grave que se ha encontrado jamás
y que probablemente era demasiado compleja para ser descubierta sin la ayuda de la inteligencia artificial. Debido al riesgo de que los delincuentes aprovecharan la falla, los investigadores mantuvieron el secreto mientras creaban un parche masivo que requirió corregir cerca de 200 archivos y escribir más de 10.000 líneas de código.
La fecha oficial para el lanzamiento del parche se fijó para el 22 de octubre. Sin embargo, la noticia se filtró el martes en una publicación en Hacker News, menos de dos días antes del lanzamiento previsto. Ante esta filtración, el equipo de Dusch decidió adelantar el aviso al mundo para que los administradores web estuvieran atentos a una actualización de seguridad crítica antes del miércoles. Varios administradores web optaron por desconectar sus sitios web de forma preventiva ante la rapidez con la que los sistemas de inteligencia artificial más avanzados pueden aprovechar este tipo de fallos.
Más sobre esto