Fallas críticas en PHP generan alerta en Argentina y afectan sitios gubernamentales

Durante la semana pasada, se detectaron dos fallas críticas en PHP, un lenguaje de programación utilizado por millones de páginas web en todo el mundo, lo que provocó que los equipos de seguridad trabajaran intensamente para mitigar los riesgos. Dado que esta tecnología también es la base de numerosos sitios gubernamentales, los equipos de respuesta a incidentes informáticos, conocidos como CERT, comenzaron a emitir alertas. En Argentina, casi la mitad de los organismos que podrían verse afectados tomó medidas en respuesta a las recomendaciones del CERT nacional.

Ariel Cessario, excoordinador del CERT, comentó que sitios como argentina.gob.ar y los ministerios de Salud y Economía, entre otros, implementaron las medidas sugeridas tras un intercambio que incluyó correos de actualización, reuniones y contactos con agencias de Estados Unidos, Europa y Chile. Según Cessario, la colaboración internacional fue clave para abordar la situación de manera efectiva.

Cristian Borghello, especialista en ciberseguridad y autor del sitio Segu-info, explicó que PHP es un lenguaje de programación esencial para la creación de los sitios web que utilizamos a diario. Aunque para la mayoría de los ciudadanos no técnicos puede ser un concepto desconocido, PHP fue desarrollado hace tres décadas y su uso es tan generalizado que sostiene aproximadamente el 70% de las páginas web en el mundo. Este lenguaje opera en los servidores que permiten el funcionamiento de las páginas, y las fallas detectadas podrían permitir que un intruso ejecute instrucciones desde internet sin necesidad de una cuenta o contraseña.

Borghello advirtió que los delincuentes podrían aprovechar estas vulnerabilidades para acceder a sistemas críticos, robar datos personales, fiscales y administrativos, y explotar estas debilidades en infraestructuras críticas como telecomunicaciones, transporte, energía eléctrica, agua y energía nuclear, entre otros. Este problema ha sido denominado P2P2Shell, y sus implicaciones son serias.

En el ámbito estatal argentino, existe un problema conocido: la falta de un inventario exhaustivo sobre la infraestructura digital del gobierno. A esto se suma que muchos de los sistemas utilizados son legacy, es decir, antiguos, lo que complica aún más el escenario. Esta situación dificulta la actualización rápida de los sistemas y la identificación del software que utiliza cada dependencia, lo que aumenta el riesgo ante las fallas detectadas.

La necesidad urgente de actualizar y proteger los sistemas ante PHP2Shell se presenta en un contexto complicado para la ciberseguridad en Argentina. El viernes 23 de septiembre, Ariel “Wata” Waissbein presentó su renuncia como director del Centro Nacional de Ciberseguridad, mientras que el lunes 26 por la noche, Cessario fue despedido. Estos cambios se producen en medio de una reestructuración del área bajo la dirección de Adriana Baravalle, quien ocupa el cargo de secretaria de Innovación, Ciencia y Tecnología desde agosto. Actualmente, solo quedan tres personas en el CERT de Argentina, mientras que PHP2Shell continúa siendo un desafío significativo a nivel nacional.

Argentina.gob.ar es el portal que centraliza las páginas institucionales de los organismos nacionales, donde se puede encontrar información sobre autoridades, servicios y trámites, y está desarrollado sobre Drupal, una plataforma que utiliza PHP. En este sitio se puede hallar, por ejemplo, la presentación de ARCA, mientras que el sistema para realizar gestiones tributarias opera de manera independiente. Además, existen servicios diferenciados como Mi Argentina, Trámites a Distancia y GDE, que pueden emplear otros servidores y tecnologías. Por lo tanto, proteger el sitio gob.ar no garantiza la seguridad de toda la infraestructura digital del Estado, ya que algunos de esos servicios mencionados no están basados en PHP y, por ende, no serían vulnerables a PHP2Shell.

El martes 20, cuando los responsables de PHP emitieron su advertencia, el CERT argentino ya había comenzado a notificar a sus contactos. La información había sido recibida la noche del lunes a través de conexiones personales que Cessario había establecido con otros equipos de seguridad, lo que permitió anticiparse al anuncio público. “El lunes a la noche automáticamente lo distribuimos a toda nuestra comunidad, que es todo el sector público nacional”, recuerda. En ese momento, aún no existía una actualización pública disponible para instalar, por lo que las primeras recomendaciones se centraron en la mitigación: disminuir las posibilidades de que un atacante pudiera explotar la vulnerabilidad mientras se desarrollaba una solución, lo que en términos coloquiales implicaba desconectar sistemas.

Aamir Lakhani, estratega global de seguridad e investigador de Fortinet, un proveedor de servicios de ciberseguridad muy solicitado en Argentina, explica que la actualización del software subyacente requiere realizar pruebas de compatibilidad, establecer ventanas de mantenimiento y reiniciar servicios, lo que suele retrasar la implementación efectiva de los parches. Esto implica verificar que las aplicaciones continúen funcionando correctamente tras la actualización y programar un horario para realizar los cambios, que podrían interrumpir el servicio.

El CERT se puso en contacto con el responsable del sitio argentina.gob.ar para revisar las versiones utilizadas y determinar qué recomendaciones y correcciones podían implementarse. Según el CERT, “hasta el jueves todo lo que nosotros les sugerimos ellos lo hicieron casi automáticamente”. En este contexto, los ministerios de argentina.gob.ar, Salud y Economía, que son de los más representativos y frecuentemente atacados, combinaron las correcciones disponibles con otras medidas para mitigar el riesgo. Según Cessario, “aplicaron todas las medidas que se recomendaron desde el CERT”.

La rapidez en la comunicación con estos organismos se debe a una historia previa de incidentes y colaboración. “Son los que más trabajan porque son de los que más atacados están. Entonces siempre tuvimos una relación muy cercana y muy dinámica en eso. Nuestros canales de comunicación con ellos siempre fueron extremadamente rápidos”, señala Lakhani. Su confirmación se refiere al trabajo que se coordinó con esos equipos hasta el jueves 22. Sin embargo, sobre otros organismos, mantiene una salvedad: “Es una gran incógnita, pero yo sé que muchos sí lo hicieron. Lo que pasa es que no los puedo confirmar”.

Parte de esta incertidumbre se explica por la organización de la infraestructura pública. La terminación gob.ar agrupa sitios nacionales, provinciales y municipales que pueden tener diferentes tecnologías, servidores y responsables, mientras que argentina.gob.ar es un portal específico que centraliza información de organismos nacionales, autoridades, servicios y trámites. El sitio de Borghello, Segu-Info, identificó más de 35 mil sitios de gob.ar que podrían estar potencialmente afectados.

La ausencia de un registro integral complica la tarea de determinar qué elementos quedaron protegidos tras una emergencia. Según se indicó, “no tienen visibilidad de lo que hay abajo; la parte importante del trabajo del CERT era justamente hacer el inventario de activos”. La ciberseguridad se basa en la premisa de que “no se puede proteger lo que no se conoce”.

El estudio realizado por Borghello y publicado en Segu-info ofrece una visión parcial de esta situación. En el análisis realizado el 29 de octubre a las 13:53, se examinaron 13.977 sitios de un total de 35.847, encontrando señales de PHP en 4.758 de ellos, lo que representa el 34% de los sitios analizados. En 2.354 casos, se pudo confirmar el uso de PHP mediante evidencia explícita, mientras que en otros 2.404 se dedujo su utilización a partir de las aplicaciones detectadas. Cessario, al ser consultado por Clarín, consideró que esta cifra es razonable, aunque es importante señalar que no indica cuántos sitios son vulnerables ni cuántos han sufrido un ataque.

De un total de aproximadamente 2.350 sitios que permitieron identificar una versión de PHP, el 47% utilizaba versiones 4, 5 o 7, que ya no reciben mantenimiento oficial, mientras que un 9% empleaba PHP 8.0 o 8.1, también fuera de soporte. Dado que la observación se realizó desde el exterior, los resultados requieren verificación con los responsables de cada sistema.

Cessario mencionó que en el sector público nacional predominan las versiones 7 y 8 de PHP, y que la transición entre ambas puede complicarse si una aplicación antigua depende de funciones que han cambiado en las nuevas versiones del lenguaje. En tales casos, migrar a una versión más reciente puede requerir adaptar el programa y realizar pruebas antes de su implementación, un proceso que demanda personal, presupuesto y conocimiento sobre la estructura original del software.

“Pasar de la siete a la ocho ya no es trivial. No podés agarrar y hacerlo con dos mangos porque tenés que hacer todo un testeo completo de lo que es la base de ese código para que vos lo puedas migrar a ocho, saber cuáles son las cosas que rompen, cómo va a cambiar la lógica”, explicó Cessario.

Borghello menciona entre las razones para mantener versiones antiguas de PHP “la complejidad y tamaño de los sistemas y datos almacenados, la distribución geográfica nacional o la obsolescencia de otras tecnologías relacionadas, como los servidores”. A estas dificultades técnicas, agrega “la negligencia y la falta de decisión política”, así como la carencia de presupuesto, personal y conocimientos en ciberseguridad, en su crítica a los sistemas del Estado. Estas razones evidencian un panorama complicado que afecta la capacidad de actualización y mantenimiento de los sistemas informáticos en el ámbito gubernamental.

Durante la respuesta a la vulnerabilidad de PHP, el CERT contaba con cuatro integrantes, según lo indicado por Cessario, lo que hacía que la coordinación con los equipos de cada organismo fuera esencial. “No podemos ir por organismos ayudando porque no tenemos la capacidad. Éramos solo cuatro. Ahora son tres, encima los chicos”, explica, refiriéndose a su despido, y describe “dos niveles de reacción”: critica a parte de la conducción y resalta que “los que trabajaron fueron los técnicos”, aunque aclara que algunos subsecretarios y directores nacionales sí se involucraron en el proceso. Esta situación pone de manifiesto la falta de recursos humanos en un momento crítico para la ciberseguridad del país.

Las salidas de Cessario y Waissbein ocurrieron tras una semana particularmente crítica, en la que la emergencia de PHP generó conmoción en el mundo online, dado que es una tecnología poco conocida por muchos, pero que está presente en numerosos sitios oficiales. “Qué mal momento para sacar al titular del CERT por una movida política”, comentaba una fuente cercana al ámbito técnico y político, reflejando la preocupación sobre la gestión de la ciberseguridad en un contexto tan delicado. La percepción de que estas decisiones pueden estar influenciadas por motivos políticos añade una capa de incertidumbre sobre la efectividad de la respuesta institucional.

“Se vienen tres o cuatro años de muchos más ataques por la inteligencia artificial”, advierte Cessario, quien considera que los modelos de IA que podrían surgir antes de fin de año representan una amenaza. “En estos dos meses, de aquí a fin de año, si se lanzan algunos de los modelos que están proponiendo de IA, vamos a tener un problema grave de ciberseguridad a nivel nacional”, advirtió. Esta declaración subraya la urgencia de fortalecer las defensas cibernéticas ante la inminente evolución de las tecnologías de inteligencia artificial.

Mientras tanto, se desconoce el nivel de seguridad que poseen los sitios oficiales de Argentina y qué parte de esta seguridad está expuesta a futuros (o, mejor dicho, actuales) ciberataques. La falta de información clara sobre la situación de la ciberseguridad en estos sitios oficiales genera inquietud, ya que podría haber vulnerabilidades que pongan en riesgo datos sensibles y la integridad de los sistemas gubernamentales.

En el contexto de la falla global de PHP, la seguridad informática se ha convertido en una preocupación central para muchas organizaciones.

Ciberataque

Las autoridades han instado a los usuarios a estar atentos a posibles ciberataques que podrían aprovechar esta vulnerabilidad.

Fuente original: Clarín Tecnología.