Un agente de IA penetra las redes gubernamentales de cuatro países europeos y obtiene información crítica en solo dos horas
La detección de intrusiones es difícil y las versiones PHP 8.1 o anteriores presentan desafíos de parches; la industria de ciberseguridad entra en alerta
El 70% de sitios web mundiales utilizan PHP; WordPress y Gnuboard también están en el rango de impacto
Se ha confirmado que una falla crítica en PHP, el lenguaje de servidor web, fue descubierta mediante inteligencia artificial y posteriormente utilizada en ataques liderados por agentes de IA. Los ataques se han vuelto más rápidos mientras que los rastros de intrusión son más difíciles de detectar y los desafíos de parches son mayores, lo que ha puesto en estado de alerta la respuesta de seguridad de las empresas nacionales.
Según informó la industria de ciberseguridad el 25 de octubre, Unit42, la división de análisis de amenazas de la empresa estadounidense de seguridad Palo Alto Networks, reveló en una sesión informativa que los atacantes que se aprovechan de la falla de PHP estaban utilizando una "plataforma de ataque de IA agéntica". La IA agéntica se refiere a una inteligencia artificial que establece objetivos y selecciona herramientas de forma autónoma para ejecutar tareas sin instrucciones paso a paso de los humanos.
Este agente de IA penetró las redes gubernamentales de Francia, Finlandia, Dinamarca y Países Bajos, obteniendo información crítica en solo dos horas. El hecho de que la infiltración y la obtención de información hayan tomado apenas dos horas ilustra una velocidad de ataque tan rápida que es prácticamente imposible que los humanos intervengan a tiempo una vez que el ataque comienza. El caso confirmado por Unit42 demuestra que la IA puede actuar de forma independiente durante las fases de ataque sin asistencia humana.
La falla en cuestión consta de dos defectos: un error en el manejo inadecuado de excepciones y un error de use-after-free que reutiliza memoria ya liberada. Ambos defectos recibieron la máxima calificación de riesgo de 9.2 en el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS). Todos los sitios web que utilizan versiones anteriores a PHP 8.2, como versiones 8.1 y anteriores, son objetivos potenciales de ataques.
Los atacantes pueden ejecutar código malicioso de forma remota en condiciones específicas sin requerir inicio de sesión ni intervención del usuario. La falla fue descubierta inicialmente el 1 de agosto por Calif, una empresa de seguridad estadounidense, utilizando el modelo de IA de OpenAI "GPT-5.6 Sol", quien lo informó a los desarrolladores de PHP el 11 de agosto. Wiz también reportó ambas fallas de forma independiente el 24 de agosto.
La falla se mantuvo en confidencialidad durante más de dos meses hasta que fue divulgada públicamente el 21 de octubre junto con la actualización de seguridad. Según la empresa de ciberseguridad Wiz, aproximadamente el 70% de los sitios web mundiales utilizan PHP, y plataformas ampliamente utilizadas en Corea del Sur como WordPress y Gnuboard están basadas en PHP.
El alcance del impacto es amplio porque el defecto radica en el propio motor de PHP, no en problemas de configuración específicos de un sitio. Además, es difícil confirmar si se ha sufrido una intrusión. Dado que el defecto se origina en el motor de PHP, un nivel inferior a las aplicaciones web, los rastros del ataque no aparecen en los registros de aplicación estándar.
La empresa de ciberseguridad SGA Solutions, en su "Advertencia de Seguridad Urgente PHP2Shell y Guía de Respuesta", identificó como objetivos de inspección clave: △cookies de sesión PHP malformadas o anormalmente largas (PHPSESSID) △errores HTTP 500 repetidos △reinicios frecuentes del proceso de trabajo PHP que gestiona solicitudes de acceso. La empresa señala que incluso en ausencia de estos indicadores no se puede descartar la posibilidad de intrusión, por lo que es necesario analizar conjuntamente los registros del servidor web, el firewall de aplicaciones web (WAF) y los registros de errores de PHP.
Los parches también presentan desafíos. Si bien las actualizaciones de seguridad están disponibles para las versiones de PHP 8.2 y superior, las empresas que utilizan versiones 8.1 o anteriores, cuyo soporte oficial ha terminado, deben aplicar parches de código fuente adicionales o migrar a versiones más nuevas. La industria de ciberseguridad recomienda que se realicen simultáneamente: la verificación de la versión de PHP en los sitios web y servidores en operación, la aplicación de parches de seguridad y la inspección de cualquier intrusión.
Yeom Heung-yeol, profesor del Departamento de Protección de la Información de la Universidad de Soonchunhyang, declaró: "Esta vulnerabilidad fue descubierta por investigadores de seguridad utilizando IA, lo que demuestra que la era en la que la IA encuentra vulnerabilidades de seguridad se ha hecho realidad". Añadió: "Tanto las instituciones públicas como las empresas privadas deben verificar rápidamente si esta vulnerabilidad existe en sus propios sistemas y sitios web".
* Este artículo ha sido traducido por IA.