Vulnerabilidades PHP: parches de emergencia ante el riesgo de explotación
Hace algunas semanas el lenguaje de programación PHP, ampliamente utilizado en todo el mundo, tuvo que recibir varios parches de emergencia tras el descubrimiento de dos vulnerabilidades. Al mismo tiempo que equipos de seguridad y administradores web se apresuraban a corregir los fallos que acababan de hacerse públicos, grupos de hackers intentaron rápidamente aprovechar esas vulnerabilidades en el entorno real.
Numerosos sitios web se desconectaron como medida de precaución, con el fin de evitar ataques. Entidades oficiales encargadas de la ciberseguridad, como el Equipo Europeo de Respuesta a Emergencias Informáticas (CERT-EU), el Centro Británico de Ciberseguridad (NCSC). O la Agencia de Inteligencia de Estados Unidos (NSA), instaron a las organizaciones que no pudieran aplicar rapidamente los parches a que desconectasen de forma preventiva los sitios web afectados, con el fin de protegerse contra esas actividades maliciosas.
No obstante, la Fundación PHP afirmó en los días posteriores que no había detectado ningún caso de explotación exitosa de los fallos. Conocidos colectivamente como PHP2Shell, y que muchos de los posibles exploits que circulaban públicamente parecen ser ineficaces.
Este caso indica que la generalización del acceso a herramientas de inteligencia artificial puede facilitar a los atacantes la rápida explotación de los fallos. Según publicó The Wall Street Journal, fue el uso de estas lo que, ya en agosto, permitió descubrir las vulnerabilidades. La generalización de un parche estaba prevista para la semana del 22 de octubre. Pero una publicación en la que se revelaban dichas vulnerabilidades, aparecida dos días antes en una web especializada, obligó a acelerar su implementación.
Explotables gracias a la IA
Los investigadores de la empresa de seguridad Calif fueron los primeros en identificar las vulnerabilidades de PHP2Shell y crear exploits a principios de agosto. Utilizaron en parte herramientas de IA de vanguardia en el marco del programa Patch the Planet de OpenAI. Esta iniciativa colaborativa tiene como objetivo ayudar a los proyectos de código abierto y a sus responsables a pasar de la mera detección de fallos de seguridad a una corrección efectiva.
Muchos de los problemas de fondo ya se habían identificado en 2024, pero en aquel momento se consideraron demasiado complejos como para ser aprovechados. Sin embargo, tras el descubrimiento de Calif, investigadores de OpenAI y de la empresa de seguridad Wiz, propiedad de Google, descubrieron las vulnerabilidades PHP2Shell utilizando herramientas de inteligencia artificial.
El equipo de PHP ya conocía el fallo desde hacía años, pero como se consideró que un atacante —al menos, uno humano— no podía aprovecharla, no se le dio solución. Ahora con la IA vemos un cambio de escenario. Los analistas suelen señalar que ningún software es perfecto, que incluso las herramientas digitales más esenciales y seguras presentan fallos. Pero las capacidades cada vez mayores de los modelos de inteligencia artificial están acelerando el análisis. Y potencialmente, la explotación de las vulnerabilidades.
Esto ejerce una presión aún mayor sobre los equipos de TI, los desarrolladores y los administradores. Estos en ocasiones cuentan con recursos insuficientes para mantener actualizados todos los equipos conectados. No obstante, los investigadores en materia de seguridad señalan que la IA no crea necesariamente un problema nuevo. Sino que más bien amplifica las dinámicas existentes en lo que respecta al descubrimiento de vulnerabilidades y a su divulgación coordinada.
Los expertos señalan también que, incluso con los modelos más avanzados de IA, la mayoría de los casos de piratería informática sofisticada asistida por IA también requieren la intervención de expertos humanos. Por ejemplo, los analistas de seguridad que encontraron el exploit en PHP llevaban ya más de un año buscando con ayuda de la IA. Y además hizo falta un equipo altamente cualificado para dar con él.