Dos fallos de seguridad críticos en PHP, un lenguaje que sustenta aproximadamente el 70% de los sitios web, han puesto de manifiesto la vulnerabilidad de gran parte de internet. La fundación detrás de PHP opera con recursos extremadamente limitados, con una sola empleada a tiempo completo, lo que genera una preocupación significativa sobre la sostenibilidad y seguridad de este componente vital de la infraestructura digital. La situación subraya la urgente necesidad de mayor financiación y apoyo para este proyecto esencial.
Esta semana se ha confirmado nuevamente la fragilidad de internet, tras el descubrimiento de dos fallos graves en PHP que han desencadenado una carrera contra el reloj para asegurar una gran parte de la web que depende de este veterano lenguaje de código abierto. Según W3Techs, PHP es utilizado por aproximadamente el 70% de los sitios web, lo que sugiere que debería contar con una organización robusta; sin embargo, su funcionamiento es precario al máximo.
Elizabeth Barron, su directora ejecutiva, ha revelado a Reuters que la fundación cuenta con una única empleada a tiempo completo (ella misma) y 14 contratistas, la mayoría a tiempo parcial. La junta directiva opera de forma voluntaria y la financiación proviene de donaciones y subvenciones, lo que evidencia la precariedad de su estructura.
La problemática no es reciente: la fundación identificó una de las vulnerabilidades en 2024 durante una revisión de seguridad. En aquel momento, no se encontró una vía de explotación conocida y su corrección resultaba compleja. En 2026, la vulnerabilidad fue descubierta externamente: la firma de ciberseguridad Calif alertó al equipo el 11 de agosto, OpenAI también la detectó de forma independiente, y Wiz informó a la fundación el 24 de agosto, tras cinco días de investigación. El 20 de octubre se filtraron los identificadores de ambos fallos, lo que llevó al proyecto a adelantar un día su publicación, según Simon Willinson. El parche correspondiente fue lanzado un día después. Posteriormente, Cloudflare registró millones de intentos de ataque, como informó su CEO a Reuters.
A pesar de esto, Elizabeth Barron afirma que la fundación no tiene pruebas de que alguien haya explotado estas vulnerabilidades antes de su divulgación o en sitios web ya parcheados. No obstante, Amazon asegura que sus sistemas señuelo detectaron un intento de ataque el 17 de octubre, originado desde una IP anonimizada. Se desconoce la identidad del atacante y cómo obtuvo información sobre el fallo. Es importante señalar que no se trataba de un sitio web real, sino de un señuelo.
La relevancia de estos fallos radica en que afectan directamente a PHP y no a un plugin, lo que implica que no basta con actualizar el contenido. Es necesario actualizar PHP en cada servidor, una tarea compleja debido a la necesidad de preservar la compatibilidad con aplicaciones y extensiones. Este no es un problema estructural que solo impacte a internet (afectando a casi el 70% de los sitios web que utilizan este lenguaje de servidor), sino también a empresas e instituciones de todo tipo. Barron es contundente al afirmar que, dada la dependencia de empresas y gobiernos, PHP está "increíblemente infrafinanciado".
El rol de la inteligencia artificial presenta una doble cara, según la directora ejecutiva de la fundación. Por un lado, la IA asiste al equipo de investigación en la detección de fallos, algunos presentes desde hace una década, y mejora la eficiencia en las tareas de programación, lo cual es crucial ante la escasez de personal. Sin embargo, también incrementa la carga de trabajo para quienes mantienen el sistema, ya que la revisión de posibles cambios recae en un número limitado de personas con experiencia. El proyecto PHP está recibiendo casi el doble de propuestas de cambio de código en comparación con el año anterior, pero "el número de colaboradores no se ha duplicado", reconoce Barron.
