Una alerta de ciberseguridad de alcance mundial pone el foco en una tecnología que utilizan millones de páginas web y aplicaciones, muchas veces sin que sus propios responsables sean conscientes de ello. Se trata de PHP, un lenguaje de programación en el que se han detectado dos vulnerabilidades críticas que, en determinadas condiciones, podrían permitir a un atacante introducir instrucciones en un servidor sin necesidad de conocer ninguna contraseña. El problema también afecta potencialmente a Galicia, donde empresas, comercios, alojamientos turísticos y administraciones dependen cada vez más de sus servicios digitales.

«Estamos ante una alerta de alcance mundial y la preocupación tiene fundamento porque PHP es una tecnología que está detrás de muchísimas páginas web y aplicaciones, casi tres de cada cuatro», explica a este diario Fernando Suárez, presidente del Consejo General de Colegios Profesionales de Ingeniería en Informática (CCII) de España y del Colexio Profesional de Enxeñaría en Informática de Galicia (CPEIG).

El riesgo no está únicamente en que una página deje de funcionar o cambie de aspecto sin autorización. Lo más preocupante, señala, es que un ataque pueda pasar inadvertido mientras se accede a información almacenada en el sistema.

«Los fallos permiten, en determinadas condiciones, ejecutar instrucciones en el servidor sin conocer la contraseña. Eso puede abrir la puerta al robo de información, a modificar una web o a interrumpir un servicio», advierte.

La gravedad de las vulnerabilidades ha llevado a los organismos nacionales e internacionales de ciberseguridad a recomendar una actuación urgente. En España, el Centro Criptológico Nacional, a través del CCN-CERT, emitió el 21 de octubre una alerta de nivel crítico en la que insta a actualizar inmediatamente las aplicaciones afectadas. También CERT-EU, el servicio de respuesta a incidentes de las instituciones europeas, advirtió de la posibilidad de ejecución remota de código y de la necesidad de proteger los sistemas expuestos a internet.

El uso generalizado de páginas web hace que las consecuencias potenciales de este problema se extiendan mucho más allá de las grandes compañías tecnológicas. Suárez recuerda que, según los datos empresariales de 2025, alrededor del 85 % de las empresas gallegas de diez o más trabajadores dispone de página web, una proporción que alcanza aproximadamente a una de cada tres microempresas.

No significa que todas ellas utilicen PHP ni que estén afectadas, pero sí refleja hasta qué punto la actividad económica depende de herramientas digitales cuyo mantenimiento resulta fundamental.

«Debemos pensar en el comercio, los alojamientos turísticos, las asesorías, las asociaciones o los servicios públicos que utilizan páginas y aplicaciones para relacionarse con sus clientes y usuarios», señala el ingeniero informático.

Por el momento, no existe una cifra contrastada de sistemas gallegos comprometidos por estas vulnerabilidades, según reconoce el propio Suárez. La advertencia se centra, por tanto, en la exposición potencial y en la necesidad de prevenir ataques.

Además, la ubicación de los servidores no determina el riesgo. Una empresa de Santiago, por ejemplo, puede tener su página alojada en otro país y depender de que la compañía encargada de gestionarla haya instalado las actualizaciones de seguridad.

Las posibles consecuencias son diversas. Un atacante que consiga aprovechar alguno de estos fallos podría, dependiendo de la configuración del sistema, acceder a archivos, obtener credenciales o consultar y extraer información de las bases de datos utilizadas por una aplicación. Entre los datos potencialmente expuestos podrían encontrarse los de clientes, pedidos, reservas o documentos de una empresa.

Y lo más inquietante es que el propietario podría no darse cuenta. «Ese robo puede pasar inadvertido a simple vista: la página continúa funcionando y el propietario no aprecia ningún cambio», explica Suárez.

La alarma ha provocado una respuesta coordinada de organismos especializados en ciberseguridad. Suárez destaca las advertencias de las autoridades estadounidenses y europeas, así como las medidas preventivas adoptadas por algunas instituciones para evitar posibles intrusiones.

Entre los ejemplos que menciona figuran la retirada temporal de la página del centro nacional de ciberseguridad de Países Bajos y la puesta en mantenimiento de varios portales del Ayuntamiento de París.

Son actuaciones que, según subraya, muestran hasta qué punto las organizaciones han considerado urgente reducir la exposición mientras aplican las correcciones necesarias.

El Consejo General de Ingeniería Informática también publicó este miércoles un comunicado bajo el título Actualizar también es proteger, en el que insiste en que conocer la existencia de una vulnerabilidad no basta: es imprescindible instalar las soluciones disponibles antes de que puedan ser aprovechadas por delincuentes.

La recomendación de Fernando Suárez a los responsables de negocios y organizaciones gallegas es clara: ponerse en contacto con la persona o empresa que mantiene su página web y comprobar si utiliza PHP, si se han instalado las correcciones de seguridad y si se han revisado posibles señales de intrusión.

«Los parches ya están disponibles. Actualizar WordPress o sus complementos no garantiza que se haya actualizado PHP», advierte. Se trata de una distinción importante, porque una página puede tener al día sus contenidos y aplicaciones visibles, pero seguir utilizando una versión vulnerable de la tecnología que funciona en el servidor.

En aquellos casos en los que no sea posible actualizar inmediatamente un servicio expuesto a internet, los técnicos deberán valorar si conviene aislarlo temporalmente para evitar riesgos.

El responsable del CPEIG insiste también en la necesidad de establecer responsabilidades claras. Cuando el mantenimiento está contratado con una empresa externa, resulta fundamental saber quién recibe las alertas de seguridad, quién se encarga de aplicar las actualizaciones y quién comprueba que realmente se han instalado.

Noticias relacionadas

«Desde el CPEIG insistimos en mantener los sistemas actualizados, proteger los accesos y definir quién se responsabiliza del mantenimiento. La seguridad necesita atención continuada, también cuando todo parece funcionar bien».

Fuente: El Correo Gallego