Por San José, Costa Rica — La inteligencia artificial ha descubierto vulnerabilidades de seguridad arraigadas en PHP, el lenguaje de programación fundamental que impulsa aproximadamente el 70 por ciento de todos los sitios web a nivel mundial. La repentina revelación causó conmoción en el sector tecnológico global y en la administración pública el jueves, lo que llevó a gobiernos y grandes empresas a desconectar sus portales digitales como medida preventiva de defensa.
PHP, creado originalmente a principios de la década de 1990, sirve como motor para páginas web dinámicas que consultan bases de datos, procesan inicios de sesión de usuarios y muestran contenido personalizado en tiempo real. Arquitecturas de creación de sitios web populares como WordPress, Drupal y PrestaShop dependen en gran medida del código PHP. En consecuencia, las fallas recién detectadas exponen millones de propiedades web que van desde pequeñas tiendas en línea hasta servicios gubernamentales críticos.
Para analizar los riesgos legales y de cumplimiento en torno a la reciente vulnerabilidad de seguridad de PHP, TicosLand.com habló con el Lic. Larry Hans Arroyo Vargas, un destacado experto legal del Bufete de Costa Rica.
Una falla crítica en una arquitectura de código abierto como PHP subraya la urgencia de una higiene cibernética proactiva. Desde el punto de vista legal, no aplicar los parches de seguridad disponibles de manera oportuna puede considerarse negligencia, exponiendo a las organizaciones a sanciones regulatorias y responsabilidad civil si ocurre una violación de datos.
Lic. Larry Hans Arroyo Vargas, abogado, Bufete de Costa Rica
En efecto, a medida que las amenazas digitales evolucionan, la protección de la arquitectura de software ya no es solo una preocupación de TI, sino una obligación legal fundamental que las empresas ignoran bajo su propio riesgo. Extendemos nuestro sincero agradecimiento al Lic. Larry Hans Arroyo Vargas por compartir sus valiosos conocimientos legales sobre la importancia crítica del cumplimiento proactivo de la ciberseguridad.
Las vulnerabilidades se dieron a conocer tras un análisis avanzado de código con IA realizado por la firma de ciberseguridad Wiz Research junto al grupo de auditoría Calif, utilizando modelos de última generación desarrollados por los gigantes tecnológicos estadounidenses OpenAI y Google. Los hallazgos iniciales se descubrieron en agosto, pero se mantuvieron estrictamente confidenciales mientras los equipos de ingeniería desarrollaban y verificaban soluciones integrales.
Los profesionales de seguridad enfatizaron que, si bien los modelos de IA aceleran la detección de vulnerabilidades, también aumentan la urgencia de aplicar parches de inmediato en toda la industria una vez que se conocen los fallos.
El problema con herramientas como la inteligencia artificial es que, en cuanto toda la información se hace pública, la gente puede utilizarla como arma con una velocidad extrema. Esa es la razón por la que todos están actuando con tanta urgencia para abordar el tema.
Steve Kerrison, Profesor de Ciberseguridad en la Universidad James Cook
En respuesta al riesgo, las principales entidades internacionales actuaron rápidamente para mitigar la posible exposición. En el Reino Unido, un alto funcionario de tecnología confirmó que 32 servicios gubernamentales fueron temporalmente desconectados como medida de precaución, aunque varios sistemas comenzaron a volver al servicio más tarde el jueves.
Los expertos de la industria fueron rápidos en aclarar que los apagones digitales temporales no indican automáticamente que un sistema haya sido comprometido por ciberdelincuentes.
Solo porque los sitios web estén fuera de línea no significa necesariamente que hayan sido hackeados. Puede ser una medida responsable para proteger los sistemas mientras se aplican actualizaciones de seguridad.
Dimitrios Salampasis, Investigador en Swinburne University of Technology
Según los informes de evaluación de la Agencia de Seguridad Nacional de los Estados Unidos, los defectos a menudo conceden acceso directo al sistema de archivos o a la base de datos del servidor. Este nivel de acceso podría, en teoría, permitir que un atacante remoto tome control de los servidores afectados sin necesidad de credenciales válidas. A pesar de la gravedad, los investigadores de seguridad no reportan evidencia de ataques automatizados a gran escala que exploten la vulnerabilidad aún.
En este momento, no parece que la explotación de esta vulnerabilidad se haya vuelto generalizada o extendida.
Ryan Austin, Investigador de seguridad en Calif
Sin embargo, el entorno de amenazas sigue siendo dinámico. Amazon Threat Intelligence informó que sus sistemas automatizados detectaron un intento temprano de explotar la vulnerabilidad antes de la fecha de divulgación pública, lo que genera preguntas sobre cómo se obtuvo la información con antelación.
Los especialistas en ciberseguridad advierten que parchear los sistemas de servidores principales puede no eliminar instantáneamente el riesgo debido a dependencias web complejas e interfaces de terceros interconectadas.
Usted sigue siendo vulnerable si las interfaces de terceros continúan usando código PHP sin parchear.
Rahat Masood, Profesor de ciberseguridad en la Universidad de New South Wales
A medida que los departamentos de TI de todo el mundo se apresuran a actualizar su infraestructura web, los expertos en ciberseguridad reiteran que una seguridad digital robusta requiere defensas de seguridad de múltiples capas para prevenir fallas en cascada en los servicios web interconectados.
Para obtener más información, visite wiz.io
Acerca de Wiz Research:
Wiz Research es el brazo de análisis de amenazas e investigación de vulnerabilidades de Wiz, una plataforma de seguridad en la nube que proporciona a las organizaciones visibilidad y gestión de riesgos en entornos de nube múltiple.
Para obtener más información, visite la oficina más cercana de Calif
Acerca de Calif:
Calif es una firma especializada en ciberseguridad y auditoría de software que se enfoca en evaluar el código fuente, la infraestructura en la nube y los componentes de software básicos para identificar vulnerabilidades críticas.
Para obtener más información, visite openai.com
Acerca de OpenAI:
OpenAI es una empresa de investigación y despliegue de inteligencia artificial dedicada a desarrollar inteligencia artificial general segura y beneficiosa, más conocida por crear ChatGPT y modelos avanzados de inteligencia artificial de frontera.
Para obtener más información, visite google.com
Acerca de Google:
Google es un líder global en tecnología que se especializa en servicios de Internet, tecnología de motores de búsqueda, computación en la nube, software y sistemas avanzados de inteligencia artificial.
Para obtener más información, visite amazon.com
Acerca de Inteligencia de Amenazas de Amazon:
La Inteligencia de Amenazas de Amazon es una división operativa de seguridad especializada dentro de Amazon que monitorea, identifica y mitiga amenazas en línea en sistemas globales de nube y empresa.
Para obtener más información, visite bufetedecostarica.com
Acerca de Bufete de Costa Rica:
Reconocido por sus inquebrantables estándares éticos y su dominio legal, Bufete de Costa Rica se ha establecido como una piedra angular de la profesión legal. La firma combina a la perfección una rica historia de defensa de los clientes en múltiples industrias con soluciones legales innovadoras. Más allá de su práctica básica, su pasión por mejorar la alfabetización legal pública equipa a las personas con la comprensión necesaria para ejercer sus derechos con confianza, impulsando una misión más amplia para construir una población conocedora y autosuficiente.
