Bancs, aerolínies i administracions de tot el món han desconnectat serveis en línia després de descobrir-se uns forats de seguretat en PHP, un llenguatge de programació molt utilitzat per crear pàgines a Internet.

Tasques del dia a dia a Internet, com consultar un compte bancari, comprar un bitllet per viatjar o fer un tràmit administratiu en línia, s’han trobat en les últimes 24 hores amb un obstacle seriós: empreses i governs de tot el món havien desconnectat les pàgines web amb les quals els ciutadans duen a terme aquestes gestions. Organitzacions públiques i privades van prendre aquesta decisió com a precaució després de revelar-se aquest dimarts dos errors crítics —descoberts per una intel·ligència artificial— en el llenguatge de programació PHP, utilitzat en gairebé el 70 % de les webs.

Cloudflare, empresa nord-americana de ciberseguretat i distribució de continguts en línia, informava aquest dijous a la matinada de milions d’intents d’atac després de la divulgació de les vulnerabilitats. «En les 10 hores prèvies a l’anunci públic, vam observar a la nostra xarxa milers d’intents d’explotar-lo. Això va passar a desenes de milers en els 45 minuts posteriors a l’anunci, a centenars de milers en dues hores i a milions ara», afirmava el conseller delegat de Cloudflare, Matthew Prince, en una publicació a X a primera hora de la setmana.

Les desconnexions preventives, que han provocat embussos en la vida en línia a molts països, quedaven justificades pel temor que aquests atacs aconsegueixin robatoris de dades o canvis de continguts als webs vulnerables. Aquests problemes, juntament amb interferències en els serveis, són possibles perquè les bretxes de seguretat permeten que els atacants executin instruccions als servidors afectats sense necessitat d’identificar-se amb contrasenya. A Espanya, l’Institut Nacional de Ciberseguretat (INCIBE) ha emès una alerta que insta a actualitzar immediatament els webs a les versions de PHP que es van publicar ahir per corregir els errors; i també recomana, si no es poden aplicar urgentment aquests pedaços, una sèrie de mesures temporals per mitigar l’exposició als atacs. A més, el comunicat de l’organisme oficial recorda que l’actualització és l’única solució completa, i que «si no es pot actualitzar un sistema exposat a Internet, cal aïllar-lo de les xarxes públiques».

El 12 % de les administracions i empreses espanyoles són l’objectiu dels intents d’atac, segons un comunicat de l’empresa de ciberseguretat Check Point Research, que assenyala que aquest percentatge és menor que en altres països «que han desconnectat els seus webs per precaució, com ara Finlàndia i els Països Baixos». Segons fonts del Ministeri de Transformació Digital, de moment no consta cap problema provocat per aquests ciberatacs al PHP «ni a webs de ministeris ni d’agències i institucions estatals», i aquestes organitzacions viuen aquesta alerta mundial «com una actualització més dels sistemes informàtics».

El llenguatge que va donar una nova vida a Internet

Les dues vulnerabilitats, conegudes en conjunt com PHP2Shell, havien estat anys ocultes dins del codi de molts milions de pàgines a Internet, des de llocs com ara la Viquipèdia fins a bona part de la carcassa sobre la qual es va construir la xarxa social Facebook, passant pel programari WordPress, àmpliament usat per publicar i mantenir llocs web. El llenguatge PHP va ser una de les claus que van donar vida a l’anomenada Web 2.0, quan les pàgines estàtiques dels anys 90 van donar pas als serveis interactius i xarxes socials que als anys 2000 van revolucionar Internet.

I la manera de desvetllar aquestes vulnerabilitats ha generat un problema a escala global. «Els detalls d’aquestes fallades es van fer públics abans que les correccions estiguessin a punt, i des d’aleshores s’han notificat atacs», va afirmar Madeline Lawrence, cofundadora de l’empresa belga de ciberseguretat Aikido Security. «Per això les empreses estan corrent per actualitzar els seus sistemes davant d’atacants que poden fer servir la IA per explotar-los. Aquesta és la cursa.» Uns corren per corregir les fallades crítiques a les seves pàgines web que usen el llenguatge PHP, deixant-les protegides abans de tornar a connectar-les. D’altres intenten aprofitar els forats descoberts per cobrar-ne el botí. I tots dos bàndols usen la IA com a aliada per als seus propòsits. També ho van fer els investigadors que van descobrir les PHP2Shell, dins de la iniciativa Posa pedaços al planeta, promoguda per OpenAI el mes d’agost passat.

Els tancaments d’emergència de serveis bancaris, aeris, ferroviaris, fiscals i governamentals que han anat creuant el món mostren fins a quin punt els sistemes públics i privats depenen del PHP, i com és de difícil corregir ràpidament aquests errors una vegada es fan públics. Dimecres, la PHP Foundation —l’organització que manté des del 2021 aquest llenguatge de programació— va publicar un pedaç urgent de programari per tapar les vulnerabilitats destapades un dia abans, i va instar els usuaris a «actualitzar immediatament» els seus sistemes.

D’aquesta manera va començar una cursa contra el rellotge per a responsables de ciberseguretat d’empreses i administracions. «Ha estat un dia llarg i una nit llarga, ho sé, per a tots els equips d’informàtica i seguretat. Feia molt, molt de temps que no veia res igual», va dir el conseller delegat de Microsoft, Satya Nadella, en un acte de l’empresa celebrat aquest dijous a Colònia (Alemanya).

Del Japó a Finlàndia

Empreses japoneses com la corredoria Nomura, l’entitat financera Mitsubishi UFJ Financial Group, l’aerolínia ANA i East Japan Railway van dir dijous que suspenien temporalment alguns serveis d’Internet com a part de mesures d’emergència. L’asseguradora Tokyo Marine Holdings va indicar que havia suspès el lloc web d’una empresa del grup. Tencent Cloud, un dels principals proveïdors de computació al núvol de la Xina, va instar els seus clients a instal·lar les versions actualitzades de PHP, però no va arribar a demanar tancaments generalitzats de llocs web. El Ministeri d’Indústria xinès va instar organitzacions i usuaris a revisar immediatament els seus sistemes i a actualitzar la darrera versió segura de PHP. Corea del Sud va elevar el nivell d’alerta de ciberseguretat del sector privat i va activar mesures de resposta d’emergència, al·legant preocupació per un risc més gran d’atacs informàtics.

A l’altra banda del globus, el grup de telecomunicacions francès Orange va declarar que havia suspès temporalment l’accés a determinats llocs web i aplicacions basats en PHP en diverses de les seves filials com a precaució. A Finlàndia, el proveïdor estatal de serveis informàtics, Valtori, va assegurar dijous al matí que havia continuat instal·lant pedaços de seguretat de PHP durant la nit i que anava aixecant gradualment els bloquejos preventius, després de tancar els serveis web públics del Govern un dia abans. «Restablir-los pot portar dies o fins i tot setmanes, ja que, a més de les actualitzacions, els sistemes s’han de provar amb compte», va afirmar en un comunicat el director general de Valtori, Hannu Naumanen. Valtori va assenyalar que les interrupcions no es van deure a atacs que explotessin les vulnerabilitats ni a una bretxa cibernètica, sinó a la prevenció de desconnectar serveis.