El jefe de Microsoft, Satya Nadella, afirma que no había visto nada parecido a la emergencia de PHP «en muchísimo tiempo».
En referencia a los esfuerzos globales en curso para solucionar la grave vulnerabilidad de ciberseguridad en millones de sitios web, dijo en una conferencia: «Sé que fue un día largo y una noche larga para todos los profesionales de TI y seguridad».
Otros expertos en informática y ciberseguridad han relatado a la BBC sus dificultades en las últimas 48 horas, cuyas historias nos permiten comprender lo que significa estar en primera línea ante una grave emergencia cibernética. Sin embargo, también ponen de manifiesto cómo la desinformación y el pánico han empeorado considerablemente la situación.
«Ha sido implacable», afirma Adam Mudd, administrador de sistemas afincado en el Reino Unido.
Dijo que nunca había recibido tantos mensajes de personas preocupadas por sus sitios web.
«El mayor desafío ha sido gestionar a los clientes que quieren que sus sitios web se desconecten como medida de precaución, al tiempo que intentamos coordinar las actualizaciones y correcciones en un sinfín de configuraciones diferentes», afirmó.
«A veces tardo más en desactivar una página web que en solucionar el problema de PHP.»
PHP es un lenguaje de programación muy popular que impulsa millones de sitios web.
Sin embargo, se detectaron dos fallos críticos en el sistema que motivaron la respuesta de emergencia, y las autoridades nacionales de ciberseguridad instaron a los equipos de TI a descargar urgentemente una actualización de seguridad o a desconectar los sitios web y los servidores.
Mudd afirma que desde entonces ha estado sometido a una enorme presión y ha perdido muchísimas horas de sueño, trabajando desde temprano y sin terminar hasta las 22:30 BST para garantizar la seguridad de los sistemas de sus clientes.
‘Escena de acción de Hollywood’
En Mauricio, el administrador de TI Loganaden Velvindron dijo que él también estaba desbordado desde que su equipo se dio cuenta de la gran cantidad de software que depende de PHP.
«Muchas versiones de PHP que se están utilizando ya han llegado al final de su ciclo de vida, por lo que tenemos que reconstruir las aplicaciones web y, en algunos casos, modificar el código», afirmó.
Según explicó, parte del problema radicaba en que el anuncio sobre las vulnerabilidades de seguridad en PHP fue una sorpresa, sin apenas tiempo para prepararse y actuar.
Jon Jones, director técnico de una empresa de publicidad digital, también se vio impulsado a actuar a raíz de las alertas.
«Ver cómo bajaba la señal de alerta fue sin duda revelador y una experiencia nueva con la que no habíamos lidiado antes», dijo.
«Pero, en cierto modo, fue emocionante sentirse como en una escena de acción de Hollywood.»
La Fundación PHP, que gestiona el lenguaje de programación, lanzó su software corrector y se produjo una avalancha de gente que se apresuró a descargarlo.
Jones dijo que sintió que «la carrera había comenzado» cuando se lanzó el parche a las 15:00 BST del miércoles.
«También fue un poco estresante, como bien sabe cualquiera que haya aplicado actualizaciones de software antes; siempre existe la posibilidad de que una actualización cause otros problemas», dijo.
La prisa se produjo después de que alguien filtrara detalles de la vulnerabilidad de PHP con antelación, y corría el fuerte rumor de que los ciberdelincuentes ya estaban intentando llevar a cabo ataques.
Pero los expertos en ciberseguridad también se preguntan ahora si esos rumores eran ciertos o no.
«Nos vimos inundados de información basura sobre supuestos hackers que operaban activamente con métodos de prueba de concepto (PoC) que funcionaban», dijo el experto británico en ciberseguridad Daniel Card.
Dijo que también ha estado trabajando sin descanso desde el martes, cuando comenzaron a circular los rumores de los ataques informáticos a PHP.
Todos los informáticos con los que hablamos coincidieron en que este tipo de fallos graves se iban a descubrir con mayor frecuencia ahora que las herramientas de IA se habían vuelto tan eficaces para piratear sistemas.
Sin embargo, a algunos miembros del sector les preocupa la forma en que se informó a la gente sobre las vulnerabilidades críticas de PHP, ya que temen que las mejoras en la IA generen más incidentes de este tipo.
«Vamos a descubrir vulnerabilidades preocupantes con las increíbles capacidades que OpenAI y Anthropic están implementando, pero necesitamos ajustar el mensaje», publicó Mark Maunder, fundador de Wordfence, una herramienta de seguridad para WordPress.
Dijo que existía el riesgo de «fatiga por exceso de alertas», lo que podría ser un gran problema si surgiera una vulnerabilidad grave y totalmente explotable.