Dues fallades greus en PHP posen de manifest la fragilitat d'un llenguatge que suporta el 70% de la web

Aquesta setmana hem comprovat (una altra vegada) que internet penja d'un fil: dues fallades greus en PHP han deslligat una carrera contrarellotge per a protegir una web que es recolza en bona part en aquest veterà llenguatge de codi obert . PHP funciona en aproximadament el 70% de les webs, segons W3Techs , així que amb aquest abast caldria esperar tingués una organització a l'altura darrere, però no: el seu funcionament és precari amb totes les forces.

Elizabeth Barron és la seva directora executiva i ha comptat a Reuters que té una sola empleada a temps complet (ella mateixa) i 14 contractistes, la majoria a temps parcial. La junta és voluntària i el finançament procedeix de donacions i subvencions. Anem, que la foto d'estoc que veus il·lustrant la portada de l'article podria ser real.

Cronologia d'una crisi amb incògnites . El problema ve des de lluny: la fundació va identificar una de les vulnerabilitats allà per 2024 durant una revisió de seguretat, però llavors no van trobar una via d'explotació coneguda i la seva correcció era difícil. En 2026, la vulnerabilitat es va descobrir de manera externa: la signatura de ciberseguretat Calif va avisar a l'equip l'11 agost, OpenAI va arribar també fins allí pel seu compte i Wiz va informar la fundació el 24, després de cinc dies de recerca. El 20 d'octubre es van filtrar els identificadors de les dues fallades i el projecte va avançar un dia la publicació, com recull Simon Willinson .

Un dia després va arribar el pegat. Després, Cloudflare va registrar milions d'intents d'atac, com comptava el seu CEO a Reuters . No obstant això, segons Elizabeth Barron, la fundació no té evidència que algú aprofités aquestes vulnerabilitats abans de fer-les públiques ni en webs ja posades pegats. No obstant això, Amazon assegura que els seus sistemes cimbell van detectar un intent d'atac el 17 d'octubre procedent d'una #IP anonimizada. Es desconeix qui va ser i com coneixia la fallada. No obstant això, no era una web real sinó un cimbell.

Per què importa . Tenint en compte que les fallades estan en PHP i no en un plugin, no n'hi ha prou amb actualitzar el contingut: és necessari actualitzar PHP en cada servidor i té la seva complexitat, perquè cal preservar la compatibilitat amb aplicacions i extensions.

No obstant això, aquest no és un problema estructural que només afecti internet (ull, a gairebé el 70% de les webs en les quals es coneix el llenguatge de servidor), sinó també a empreses i institucions de tota mena. Barron és clara: donada la dependència d'empreses i governs, PHP està "increïblement infrafinançat".

El paper de la IA . Com explica la directora executiva de la fundació, la intel·ligència artificial dóna una de calç i una de sorra. Sí, ajuda a l'equip de recerca a trobar aquestes fallades, presents des de fa una dècada, i augmenta l'eficiència de les tasques de programació, una cosa fonamental quan falten mans.

Però també augmenta la càrrega de treball de les persones que mantenen tot, ja que la tasca de revisió de possibles canvis recau sobre unes poques persones amb experiència. El projecte PHP està rebent gairebé el doble de propostes de canvi de codi respecte a fa un any però "el nombre de col·laboradors no s'ha duplicat", reconeix.

En Xataka | El que ha succeït amb PHP ens avisa: tenim un problema greu amb el programari antic que sosté internet

En Xataka | Cada quant hem de canviar TOTES les nostres contrasenyes segons tres experts en ciberseguretat

Portada | Christina Morillo

- La notícia Gairebé tot internet se sosté en PHP. Resulta que en la seva fundació només treballa una persona a jornada completa va ser publicada originalment en Xataka per Eva R. de Luis .