Las vulnerabilidades críticas de PHP desencadenan una respuesta global en materia de ciberseguridad

Gobiernos, agencias de ciberseguridad y grandes organizaciones de todo el mundo se han apresurado a proteger sus sistemas tras el descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación web más utilizados en Internet. Las fallas, que, según se informa, habían permanecido ocultas durante más de una década, fueron identificadas por investigadores mediante herramientas avanzadas de inteligencia artificial y se consideran uno de los problemas de seguridad web más importantes de los últimos años.

Las vulnerabilidades son lo suficientemente graves como para que las agencias nacionales de ciberseguridad del Reino Unido, Estados Unidos, Europa, Australia y Japón instaran a las organizaciones a aplicar actualizaciones de seguridad de inmediato o a considerar la posibilidad de desconectar los sistemas afectados hasta que se pudieran implementar los parches. Varias organizaciones, entre ellas sitios web gubernamentales, servicios públicos y plataformas de medios de comunicación, restringieron temporalmente el acceso o desconectaron sus sistemas como medida de precaución.

Los investigadores de seguridad estiman que estas fallas podrían afectar potencialmente a una gran parte de la infraestructura conectada a Internet, incluidos los sitios web creados en plataformas populares como WordPress, Drupal y Joomla. Las vulnerabilidades podrían permitir a los atacantes ejecutar código malicioso de forma remota, lo que podría dar lugar al compromiso de los sitios web, la instalación de malware y el robo de datos.

Aunque ya se han publicado los parches, los expertos advierten de que las organizaciones deben actuar con rapidez para identificar los sistemas vulnerables y vigilar cualquier indicio de intento de explotación. El incidente pone de relieve tanto el papel cada vez más importante de la IA en la ciberseguridad como los riesgos generalizados asociados a las vulnerabilidades en las tecnologías fundamentales de Internet.

Millones de intentos de explotación tras la revelación de una vulnerabilidad crítica en PHP

Los expertos en ciberseguridad advierten a las organizaciones que deben aplicar los parches a sus sistemas de inmediato, tras detectarse millones de intentos de explotación de las vulnerabilidades de PHP recientemente reveladas, tan solo unas horas después de que se hicieran públicas. PHP es uno de los lenguajes de programación web más utilizados del mundo, y es la base de una parte significativa de los sitios web y aplicaciones conectados a Internet.

Según los principales proveedores tecnológicos, los atacantes se apresuraron a aprovechar las vulnerabilidades. Cloudflare informó de que los intentos de explotación pasaron de ser miles antes de la divulgación pública a millones en cuestión de horas, mientras que Amazon Web Services advirtió de que las fallas ya estaban siendo explotadas activamente en la red. Los investigadores de seguridad creen que los actores maliciosos ya habían estado intentando aprovechar las vulnerabilidades incluso antes de que se anunciaran oficialmente los detalles.

La gravedad de las vulnerabilidades llevó a organismos gubernamentales y organizaciones de todo el mundo a adoptar medidas de precaución, incluida la desconexión temporal de sitios web mientras se aplicaban las actualizaciones de seguridad. Las autoridades del Reino Unido, Estados Unidos, Australia y Europa han instado a las organizaciones a implementar los parches disponibles sin demora.

Los expertos advierten de que la vulnerabilidad podría proporcionar a los atacantes una vía directa para comprometer servidores web, instalar malware, robar datos o interrumpir servicios. Dado que las herramientas de ataque automatizadas y las capacidades basadas en la inteligencia artificial aceleran los esfuerzos de explotación, se aconseja a las organizaciones no solo que apliquen los parches a los sistemas afectados, sino que también revisen los registros en busca de indicios de compromiso y supervisen la actividad maliciosa en curso.

Una contraseña débil provoca una filtración de datos de miles de niños

Las autoridades británicas de protección de datos han sancionado a Ogi Networks Limited (ONL) y a Data Cymru después de que un ciberataque dejara al descubierto la información personal de aproximadamente 3.300 personas, la mayoría de ellas niños, a través de una cuenta protegida con la contraseña «Password1».

Según la Oficina del Comisionado de Información (ICO), los atacantes aprovecharon una cuenta de prueba inactiva conocida como «Test2», que había permanecido activa durante más de 12 años sin haber sido revisada ni eliminada adecuadamente. El ataque de ransomware provocó el robo de 42 GB de datos y el cifrado de casi 183 GB de información, lo que afectó a proyectos de apoyo a niños y familias.

Los investigadores descubrieron que ambas organizaciones no habían implementado controles de ciberseguridad adecuados y no habían definido claramente las responsabilidades en materia de protección de los sistemas afectados. La ICO señaló que el incidente pone de manifiesto cómo una sola contraseña débil y una cuenta en desuso pueden suponer un riesgo de seguridad significativo.

Tras la filtración, ambas organizaciones introdujeron medidas de seguridad más estrictas, entre las que se incluyen la autenticación multifactorial (MFA), controles de acceso más rigurosos, revisiones periódicas de las cuentas y acuerdos de tratamiento de datos actualizados. El incidente sirve para recordar la importancia de las prácticas básicas de ciberhigiene, como eliminar las cuentas inactivas, exigir contraseñas seguras y auditar periódicamente el acceso de los usuarios para reducir el riesgo de vulnerabilidades.

Descubierto en la red un agente autónomo de ciberataques basado en IA

Los investigadores de seguridad han descubierto un sofisticado agente de ciberataques basado en IA capaz de llevar a cabo toda una cadena de ataques sin intervención humana. Esta herramienta autónoma fue diseñada para realizar de forma independiente hasta 100 000 acciones maliciosas, entre las que se incluyen la búsqueda de objetivos vulnerables, la explotación de fallos de seguridad, el robo de credenciales, el despliegue de mineros de criptomonedas y el mantenimiento de la persistencia en los sistemas comprometidos.

El agente de IA fue descubierto por el equipo Threat Hunter de Symantec a través de un «honeypot» de IA diseñado para atraer a atacantes que tienen como objetivo la infraestructura de inteligencia artificial. Los investigadores capturaron el conjunto de instrucciones del malware y descubrieron que estaba diseñado para secuestrar servicios expuestos de modelos de lenguaje a gran escala (LLM), una técnica conocida como «LLMjacking», que permite a los atacantes utilizar recursos de IA de terceros evitando al mismo tiempo la detección y los costes operativos.

El análisis reveló que el agente tenía acceso a docenas de herramientas ofensivas capaces de realizar reconocimiento, explotar vulnerabilidades, robar bases de datos, recopilar credenciales y gestionar redes de bots. Las instrucciones también incluían técnicas destinadas a eludir los controles de seguridad integrados en los modelos comerciales de IA y a disfrazar la actividad maliciosa como tareas legítimas de administración del sistema.

Aunque los métodos de ataque individuales no son nuevos, los investigadores advierten de que combinarlos en un agente de IA autónomo reduce significativamente la barrera de entrada para los ciberdelincuentes. El descubrimiento pone de relieve un cambio creciente en el panorama de amenazas, en el que la IA ya no se limita a ayudar a los atacantes, sino que actúa cada vez más como el motor que planifica e impulsa las operaciones cibernéticas de forma autónoma.

Una vulnerabilidad crítica de GitLab permite la ejecución remota de código en servidores autogestionados

GitLab ha publicado actualizaciones de seguridad de emergencia para solucionar una vulnerabilidad crítica de ejecución remota de código (RCE), identificada como CVE-2026-110264, que presenta la puntuación CVSS máxima de 10,0. La vulnerabilidad afecta a todas las instalaciones autogestionadas de GitLab desde la versión 7.0, lo que significa que los sistemas que ejecutan software lanzado ya en 2014 podrían ser vulnerables.

Según GitLab, la vulnerabilidad se debe a un desbordamiento de enteros en el motor de procesamiento de expresiones regulares de la plataforma. En determinadas condiciones, un atacante no autenticado podría aprovechar la vulnerabilidad para ejecutar código arbitrario en un servidor vulnerable sin necesidad de iniciar sesión. Aunque por el momento no hay pruebas de que la vulnerabilidad se haya explotado en la red, los expertos en seguridad advierten de que su gravedad y su amplio impacto hacen imprescindible una corrección rápida.

GitLab ha publicado parches para múltiples versiones compatibles y heredadas, una medida inusual que refleja la gravedad del problema. La empresa también ha publicado reglas de detección para ayudar a los administradores a identificar posibles intentos de explotación.

Solo se ven afectados los entornos de GitLab autogestionados, mientras que GitLab.com y las instancias actualizadas de GitLab Dedicated ya incluyen la corrección. Se recomienda encarecidamente a las organizaciones que utilicen implementaciones autohospedadas que apliquen las últimas actualizaciones de inmediato, ya que GitLab no ha proporcionado ninguna solución alternativa. Esta vulnerabilidad es la última de una serie de fallos de alta gravedad que afectan al motor de expresiones regulares de GitLab y sirve como otro recordatorio de la importancia de una gestión oportuna de los parches para las plataformas de desarrollo conectadas a Internet.

Si le preocupan alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más graves a las que se enfrenta su organización, póngase en contacto con su gestor de cuentas o, si lo prefiere,póngase encontacto con nosotros para saber cómo puede proteger su organización.

El «Resumen de información sobre amenazas» ha sido elaborado por Integrity360 y recoge las noticias sobre amenazas tal y como las observamos, con la información actualizada a la fecha de publicación. No debe considerarse como asesoramiento jurídico, de consultoría ni de ningún otro tipo profesional. Cualquier recomendación debe considerarse en el contexto de su propia organización. Integrity360 no adopta ninguna postura política en la información que comparte. Además, las opiniones expresadas no reflejan necesariamente los puntos de vista de Integrity360.