Tu web lleva años funcionando. La tienda online recibe pedidos, el sistema de reservas va solo y el programa de la empresa que se abre en el navegador hace lo que tiene que hacer. Nadie lo ha tocado desde que se instaló, y no ha hecho falta. Esta semana esa tranquilidad tiene un problema: si nadie lo ha actualizado en los últimos días, puede que tenga la puerta abierta y tú no lo sepas.
Qué ha pasado con PHP
PHP es el lenguaje con el que funcionan casi 7 de cada 10 webs. Sobre él están WordPress, WooCommerce, PrestaShop, Joomla y muchos CRM, intranets y sistemas de reservas. Aunque tu página principal no esté hecha en PHP, es bastante probable que alguna pieza que cuelga de ella sí lo esté: el formulario, la reserva de citas, el área de clientes.
El 21 de octubre el equipo de PHP publicó actualizaciones de urgencia para dos fallos críticos (los investigadores los han llamado “php2shell”). Con ellos, alguien de fuera puede ejecutar lo que quiera en el servidor donde está tu web, sin usuario ni contraseña. Una comparación sencilla: es como si la cerradura de un modelo de puerta que tiene medio barrio se pudiera abrir con cualquier llave.
Hay tres detalles que lo hacen más serio de lo normal:
- Se filtró antes de que hubiera arreglo. La información salió el 20 de octubre y PHP tuvo que adelantar un día la publicación de los parches.
- Ya había intentos de ataque antes de que se supiera. Amazon detectó el primero el 17 de octubre, cuatro días antes del aviso oficial. Desde entonces Amazon, Cloudflare y empresas de hosting están viendo intentos. Cuántas webs han caído de verdad todavía no está claro, pero el aprovechamiento ya ha empezado.
- Afecta a todas las versiones desde la 5.4, es decir, a webs de hace más de diez años y a las de este año.
El centro nacional de ciberseguridad de los Países Bajos llegó a desconectar su propia web por precaución hasta tener el parche.
“Mi web funciona, así que estará bien”
Aquí está la falsa seguridad. Una web atacada por este fallo puede seguir funcionando exactamente igual. Al que entra no le interesa que se note: le interesa lo que hay dentro. Los datos de tus clientes, sus correos y teléfonos, los pedidos, las contraseñas que guarda el servidor y, a partir de ahí, el acceso a otros sistemas de la empresa.
Quien tiene la web con mantenimiento seguramente ya lo tiene resuelto o está en ello. El problema está en todas las webs que se pagaron un día, se entregaron y nadie ha vuelto a mirar. Su dueño no sabe qué versión de PHP tiene, ni sabe que eso existe. Y nadie le va a llamar para avisarle.
El problema de las versiones antiguas
Solo hay versión oficial corregida para las ramas más recientes: 8.2, 8.3, 8.4 y 8.5. Para la 8.1, la 8.0 y la 7.4 el equipo de PHP solo ha publicado un arreglo que hay que montar a mano, y para la 7.3 y anteriores no hay arreglo. Muchas webs de pyme siguen en PHP 7 porque nadie las ha subido de versión.
Subir de versión no siempre es darle a un botón. Una web antigua, con plugins sin actualizar, puede dejar de funcionar al cambiar de PHP. Por eso lo tiene que hacer alguien que sepa, con copia de seguridad antes y comprobando después que todo sigue en su sitio.
Y si llega a pasar lo peor, no es solo un problema técnico: si alguien entra y accede a datos personales de tus clientes, la ley de protección de datos obliga a comunicarlo a la Agencia Española de Protección de Datos en un plazo de 72 horas.
Qué tienes que hacer esta semana
No tienes que saber de PHP. Tienes que conseguir que alguien que sepa te dé una respuesta clara.
- Haz la lista de lo que tienes en internet. La web, la tienda, las reservas, el CRM, el área de clientes, cualquier programa que se abra en el navegador desde fuera de la oficina.
- Llama a quien te lo lleva (la agencia que hizo la web, tu informático, tu proveedor de hosting) y pregúntale una cosa: “¿Qué versión de PHP tiene y ya está en la versión corregida del 21 de octubre?”. Pide la respuesta por escrito, aunque sea un correo.
- Si no sabes quién te lo lleva, empieza por la empresa a la que pagas el hosting o el dominio. Si nadie se hace cargo, busca un profesional que lo revise ya. Eso también es una respuesta: tu web no la mantiene nadie.
- Si te dicen que es una versión antigua, que la suban de versión con copia previa. Si la web es importante para el negocio y no se puede actualizar enseguida, es mejor ponerla en mantenimiento unos días que dejarla abierta.
- No instales “parches” que encuentres por internet ni plugins que prometen arreglarlo. Lo único que arregla el fallo es actualizar PHP.
- Pide que revisen si alguien ha entrado. Los intentos empezaron antes del aviso, así que no basta con actualizar: conviene que miren el servidor desde el 17 de octubre y que cambien las contraseñas que guarda (base de datos, correo, accesos de administración).
Esto no es el primer aviso del año
En abril, Fortinet, una de las marcas de cortafuegos más usadas por las empresas, avisó de un fallo en uno de sus programas de gestión que ya se estaba aprovechando para atacar sin necesidad de contraseña.
En julio le tocó a WordPress: un fallo en el propio WordPress, sin necesidad de ningún plugin, que permitía entrar en la web sin contraseña y que se aprovechó en ataques reales. El investigador que lo encontró contó después que se ayudó de herramientas de inteligencia artificial. La IA también sirve para encontrar agujeros más rápido.
En agosto, la agencia de ciberseguridad de Estados Unidos (CISA) añadió a su lista de fallos aprovechados en ataques reales uno del núcleo de Linux, el sistema que usan Ubuntu y buena parte de los servidores de internet.
Y ahora, en octubre, PHP.
Son piezas que usa medio mundo, y cada vez hay menos margen entre que se descubre un fallo y que alguien intenta aprovecharlo. Nuestra lectura es que esto va a ser lo normal: avisos de este tipo varias veces al año, y webs y servidores que hay que actualizar en días, no cuando alguien se acuerde.
Pasa lo mismo que con tu casa o tu local. Nadie pone una cerradura el primer día y se olvida de ella para siempre. Lo que tienes en internet está más expuesto que cualquier cosa física, porque cualquiera, desde cualquier sitio, puede probar la puerta. No hace falta tener miedo. Hace falta que alguien se ocupe de mantenerlo.
Si alguien te mantiene la web, ponte en contacto con él lo antes posible para que te asesore y te confirme que ya está actualizada. Y si no tienes mantenimiento, ten clara una cosa: si tu web funciona con PHP y nadie la ha tocado desde antes del 21 de octubre, lo más probable es que tengas la puerta abierta. Sola no se va a actualizar.
