El Centro Nacional de Seguridad Digital de la Presidencia del Consejo de Ministros (PCM) alertó sobre el riesgo de ataques masivos a páginas web de entidades públicas y privadas debido a dos vulnerabilidades críticas detectadas en PHP, un lenguaje de programación utilizado para crear sitios y aplicaciones de internet. Los errores podrían permitir que atacantes ejecuten instrucciones a distancia en servidores que todavía no cuentan con las correcciones.
En su informe del 21 de octubre, el organismo identificó la amenaza denominada PHP2Shell y advirtió que los detalles técnicos de las vulnerabilidades se filtraron en internet antes de la divulgación coordinada y la publicación oficial de los parches.
La alerta también alcanzó a otros países. Los equipos de seguridad digital de Estados Unidos, Países Bajos, Alemania, Reino Unido, Japón y España pidieron a las organizaciones que utilizan PHP que instalaran las actualizaciones para reducir el riesgo de intrusiones.
El Instituto Nacional de Ciberseguridad de España (Incibe) calificó las fallas con una puntuación de 9,2 sobre 10, dentro del nivel crítico. Según EFE, algunos servicios, páginas web, medios de comunicación y hospitales de determinados países optaron por desconectarse de forma preventiva.
El equipo de PHP publicó las correcciones el 21 de octubre. No obstante, el Centro Nacional de Seguridad Digital advirtió que ya se habían reportado intentos de explotación y que la difusión de pruebas técnicas podía facilitar nuevos ataques contra los sistemas que continuaran expuestos.
