El fallo de seguridad de PHP detectado por agentes de inteligencia artificial ha multiplicado los ataques: de miles a millones. No es una hipérbole de conferencia.
La secuencia se cuenta en tres pasos. Varios agentes automáticos peinaron el código del intérprete —el core, sus extensiones y el gestor de procesos CGI, todo publicado en el repositorio oficial del proyecto—, localizaron errores de validación de entrada y fallos de gestión de memoria, y los pusieron sobre la mesa de los equipos de mantenimiento. Después, en cuestión de días, los intentos de explotación se multiplicaron por varios órdenes de magnitud.
Cloudflare lo vio antes que nadie porque una parte enorme del tráfico web mundial pasa por su red. Matthew Prince, su consejero delegado, resumió el salto con una frase que ha corrido por las redacciones: ‘hemos pasado de miles a millones de ataques’. La declaración, recogida por La Vanguardia, deja poco margen a la interpretación.
De miles a millones: la escala del asalto
La magnitud de la exposición es la parte incómoda. Las estimaciones que manejan los equipos de respuesta sitúan el parque afectado en hasta el 70% de las páginas web del mundo, una horquilla que se explica por la propia arquitectura de internet: no hace falta que un sitio esté escrito en PHP para que dependa de él. Basta con que su gestor de contenidos lo use por debajo.
Ahí entran WordPress, Drupal, Joomla, PrestaShop, Magento, y buena parte de los paneles de facturación, reservas y tiendas online que sostienen el comercio pequeño. Un fallo en el intérprete no distingue entre una web corporativa y una pasarela de pago. Tampoco distingue entre un servidor dedicado con un equipo de sistemas detrás y un alojamiento compartido que nadie ha tocado en cuatro años.
La explotación masiva tiene una lógica económica simple: el coste de escanear es casi cero y el retorno potencial, altísimo. Los primeros sondeos llegaron antes de que existiera un parche público. Eso ya no es una carrera entre atacante y defensor. Es una carrera entre atacante y administrador de sistemas con vacaciones pendientes.
El mapa de afectados tampoco distingue geografías. Los sectores más golpeados por los sondeos iniciales son los de siempre: comercio electrónico de tamaño medio, agencias con carteras de clientes, portales de reservas y administraciones locales con presupuestos de mantenimiento congelados. Todos comparten un rasgo, y no es técnico: nadie tiene un inventario real de lo que corre en sus servidores.
Encontrar el fallo con inteligencia artificial es cuestión de horas; desplegar la corrección en cien mil servidores olvidados es cuestión de años.
Por qué el 70% de la web sigue montada sobre PHP
PHP no es un lenguaje de nicho. Los recuentos de W3Techs lo sitúan en torno a tres cuartas partes de los sitios cuyo lenguaje de servidor se puede identificar, y esa cuota apenas se ha movido en una década. Los intentos de arrinconarlo —por moda, por rendimiento o por prejuicio— se han estrellado siempre con la misma pared: reinstalar un gestor de contenidos entero cuesta dinero y no da titulares.
El problema no es el lenguaje. Es la distancia entre la versión que corre en producción y la que los mantenedores dan por buena. Cada rama que deja de recibir soporte se convierte en un depósito de vulnerabilidades conocidas, documentadas y, por tanto, rentables. El PHP 7 llegó a su fin de ciclo hace tiempo y sigue vivo en miles de paneles de control. Nadie los apagó porque nadie sabe quién los instaló.
Las herramientas públicas de medición de tráfico, como Cloudflare Radar, permiten seguir la evolución del tráfico malicioso sin depender de notas de prensa. En los picos de este episodio, el patrón es reconocible: ráfagas cortas, automatizadas y distribuidas, dirigidas a rutas concretas del intérprete.
Patch the Planet: encontrar el fallo es la mitad del problema
La respuesta global se ha bautizado como Patch the Planet. Es una etiqueta que agrupa a mantenedores voluntarios, proveedores de infraestructura y equipos de respuesta ante incidentes con un objetivo común: cerrar la brecha antes de que la explotación se estandarice. Mi diagnóstico es menos optimista de lo que el nombre sugiere.
Encontrar vulnerabilidades con agentes automáticos ha dejado de ser un cuello de botella. La industria acaba de descubrir que puede auditar en semanas lo que antes llevaba años, y el resultado es un torrente de informes que los mantenedores de proyectos con dos personas en nómina no pueden absorber. La inteligencia artificial ha resuelto el problema de la detección y, de paso, ha empeorado el de la gestión.
Hay una segunda contradicción, y es la que más me preocupa. El ciclo de divulgación responsable está pensado para un mundo en el que los fallos se descubren de uno en uno y se parchean con calma. Cuando salen a la luz decenas de golpe, las ventanas de exposición se solapan, las alertas se pisotean y el administrador medio —el que gestiona tres webs de clientes los viernes por la tarde— desconecta. La fatiga de parches es un vector de ataque tan real como un desbordamiento de memoria.
Hay un tercer frente que apenas ha entrado en la conversación. Los proveedores de alojamiento compartido concentran el mayor parque expuesto y son los que menos incentivos tienen para forzar actualizaciones: cada migración es una queja de cliente. Cualquier plan que no incluya presión sobre esa capa intermedia se quedará en la superficie del problema.
Conviene recordar el precedente. Cada gran susto de infraestructura de la última década —desde las bibliotecas de cifrado hasta los registros de dependencias— siguió el mismo patrón: pánico, parches de urgencia durante tres semanas y un retorno progresivo a la desidia. Lo que distingue a este episodio es la velocidad de reproducción del ataque y el hecho de que la herramienta que encuentra los fallos es la misma que los explota. La asimetría se ha movido de bando, pero no a favor de los defensores.
La lectura relevante ya no es si PHP es seguro. Lo es tanto como cualquier otro intérprete con veinte años de código a la espalda. La pregunta es quién paga el mantenimiento de la infraestructura aburrida: el alojamiento barato, la plantilla sin actualizar, el módulo que ya nadie recuerda haber instalado. Ese coste siempre existió. La inteligencia artificial solo lo ha puesto en el balance de golpe.
El indicador que importa no llegará con un titular, sino con un porcentaje. Cuando la coalición publique su primer recuento de tasa de parcheo sobre el parque expuesto, sabremos si esto fue una llamada de atención o una anécdota de otoño. Si ese dato se queda por debajo de la mitad, el susto habrá servido para financiar un puñado de auditorías y nada más. Y la próxima vez, el agente que encuentre el fallo no tendrá por qué ser de los buenos.
