PHP ha estat la bretxa, Cloudflare ha estat l'escut que ha protegit a l'altre 40% d'internet de caure

El dimecres, diverses webs de governs europeus es van quedar sense connexió. El Govern del Japó va recomanar suspendre part dels seus continguts i moltes empreses van optar per desconnectar les seves pàgines davant la possibilitat de sofrir un ciberatac. Ningú volia ser el primer a caure .

El motiu que va fer contenir l'alè als els administradors de servidors de tot el món va ser una fallada amagada durant més d'una dècada en el codi de PHP , el llenguatge que mou gairebé el 70% de totes les pàgines d'internet. Mentre uns premien el botó del pànic en els seus servidors, Cloudflare adoptava un paper inesperat: es convertia en l'escut que protegia les webs de milions d'usuaris i petites empreses que no tenen un equip d'experts en ciberseguretat en nòmina.

La bretxa portava dècades aquí. L us dos errors es van registrar com CVE-2026-109618 i CVE-2026-109619, encara que ja se'ls coneix per tot el món com PHP2Shell. Tal com avisa el INCIBE, aquesta vulnerabilitat permet a un atacant sense credencials executar codi maliciós directament en el servit. És una amenaça considerada com molt greu amb una puntuació de 9,2 sobre 10 per aquest motiu molts administradors preferissin donar-li una estirada a l'endoll dels seus servidors abans que #exposar a un ciberatac.

La Fundació PHP admet que el problema es va intuir en 2024, després d'una auditoria externa, però l'arranjament es va embussar durant mesos i ha assumit el "mea culpa" reconeixent que "el retard va ser una fallada estructural". A l'agost, Calif i OpenAI van demostrar que es podia executar codi sense credencials, i tot va canviar de prioritat, però el pegat no va poder #implementar a temps.

Quatre dies abans del pegat . L'anunci de l'existència de la vulnerabilitat i el seu pegat va arribar el dimecres 21 d'octubre, la qual cosa va deslligar el pànic entre els administradors. Però Amazon ja va detectar un intent d'atac a aquesta vulnerabilitat el 17 d'octubre contra un dels seus cimbells (servidors parany per a estudiar atacants). Va arribar des d'una xarxa d'anonimat comercial. Amazon no sap com va obtenir l'atacant aquesta informació.

Segons explica la Fundació PHP, després va venir la filtració de la informació sobre la vulnerabilitat. El dimarts 20 d'octubre, els dos identificadors ja circulaven per fòrums i xarxes. Una de les signatures que va reportar la fallada va publicar per error un vídeo amb la seva prova de concepte. I una altra empresa va deixar anar imatges amb l'arranjament més de sis hores abans dels pactes.

L'escut de Cloudflare . Amb la notícia de l'existència d'una bretxa de seguretat que permetria entrar sense dir ase ni bèstia en milions de serveis web corrent com la pólvora pels fòrums especialitzats, no hi havia més remei que prendre mesures dràstiques per a aixecar un escut de seguretat. Cloudflare havia estat desenvolupant les seves regles amb la Fundació PHP, OpenAI i Wiz des de principis d'octubre, segons detalla l'empresa. Davant el previsible devessall d'atacs, Cloudflare va activar la protecció per defecte el 21 d'octubre. Gairebé onze hores abans que s'anunciés el pegat que solucionava el problema.

La barrera que va aixecar Cloudflare no es va limitar als seus clients corporatius, sinó que va protegir als clients amb tallafocs web i a aquells que tenien el pla gratuït. Segons dades de W3Techs , aquest escut de Cloudflare podria haver estat l'única protecció per a una de cada quatre webs de tota internet.

Les regles normals de seguretat no bastaven per a atallar la vulnerabilitat pel que la companyia va crear la "detecció de transacció completa", que analitza la petició de l'usuari i la resposta del servidor. Si alguna cosa no li quadra, bloqueja la resposta abans que arribi a qui la va demanar. És a dir, la seva xarxa s'ha col·locat entre el visitant i el servidor, que és com funciona Cloudflare i permet filtrar el trànsit.

Atacs a ritme de màquina. L'anticipació de Cloudflare a desplegar l'escut que ha protegit a milions de pàgines estava més que justificada. Segons recollia Reuters, en les deu hores prèvies a l'anunci, Cloudflare va detectar milers d'intents d'ús d'aquesta vulnerabilitat. El seu conseller delegat, Matthew Prince, assegurava que "va pujar a desenes de milers en els 45 minuts posteriors a l'anunci. Després, a centenars de milers en dues hores, i ara a milions".

CJ Moses, cap de seguretat de Amazon, considera que la IA explica bona part d'aquest increment en el nombre d'intents d'atac detectats i que el temps entre pegat i exploit funcional "s'està reduint per raons estructurals". L'anàlisi assistida per IA l'abarateix, va afegir.

En Xataka | Microsoft considera que "els models davantera no són de fiar" i cal tractar als agents de IA com a amenaces internes

Imatge | Unsplash ( Glen Carrie )

- La notícia PHP ha estat la bretxa, Cloudflare ha estat l'escut que ha protegit a l'altre 40% d'internet de caure va ser publicada originalment en Xataka per Rubén Andrés .