La falla global de PHP que amenaza a gran parte de la web: cómo reaccionó Argentina y cuál es el estado de los sitios oficiales

Durante la semana pasada dos fallas críticas en PHP un lenguaje de programación que usan millones de páginas web en todo el mundo pusieron a los equipos de seguridad a trabajar contra reloj. Como esa tecnología también sostiene numerosos sitios gubernamentales los equipos de respuesta a incidentes informáticos conocidos como CERT comenzaron a distribuir alertas. Y en Argentina casi la mitad de los organismos potencialmente afectados respondió al CERT nacional.

El excoordinador de la entidad Ariel Cessario explicó a Clarín que argentina.gob.ar y los ministerios de Salud y Economía entre otros aplicaron las medidas que les recomendaron a partir de un intercambio que incluyó correos de actualización reuniones y contactos con agencias de Estados Unidos Europa y la de Chile.“PHP es un lenguaje de programación que se utiliza para crear los sitios web por los cuales navegamos todos los días. A pesar de que puede ser un absoluto desconocido para la mayoría de los ciudadanos no técnicos fue creado hace tres décadas y su uso es tan extensivo y masivo que sostiene aproximadamente el 70% de las páginas web del mundo” explica a este medio Cristian Borghello especialista en ciberseguridad y autor del sitio Segu-info con amplia experiencia en mantenimiento de sistemas y actualizaciones de seguridad.

Este lenguaje funciona en los servidores que hacen andar las páginas donde estas fallas pueden permitir que un intruso ejecute instrucciones desde internet sin necesitar una cuenta ni conocer una contraseña."Los delincuentes pueden aprovechar dichos errores para ingresar a sistemas críticos robar datos personales fiscales administrativos y explotar esas debilidades en Infraestructuras Críticas como telecomunicaciones transporte luz agua energía atómica y un largo etcétera" advierte en relación a los peligros concretos de este problema que se bautizó como P2P2Shell.

A nivel estatal en Argentina hay un problema serio muy conocido en el ambiente: una falta de un inventario exhaustivo sobre la propia infraestructura digital del estado. Sumado a que muchos de los sistemas son legacy (antiguos) el escenario se complejiza aún más en tanto se dificulta actualizar con rapidez y conocer qué software utiliza cada dependencia.La urgencia por actualizar y proteger los sistemas frente a PHP2Shell se da además en un momento turbulento para la ciberseguridad nacional: Ariel “Wata” Waissbein presentó el viernes 23 su renuncia al frente del Centro Nacional de Ciberseguridad y Cessario fue despedido el lunes 26 por la noche en medio de los cambios que atraviesa el área bajo la gestión de Adriana Baravalle secretaria de Innovación Ciencia y Tecnología desde agosto.

Al día de hoy quedaron tres personas en el CERT de Argentina mientras PHP2Shell sigue siendo un problema de envergadura nacional.Las webs del Estado y la respuesta del CERTArgentina.gob.ar es el portal que reúne las páginas institucionales de los organismos nacionales con información sobre sus autoridades servicios y trámites y está construido sobre Drupal una plataforma para publicar contenidos que funciona con PHP. Allí puede estar por ejemplo la presentación de ARCA mientras que el sistema para ingresar y hacer gestiones tributarias funciona por separado.