La Anatel, el regulador de telecomunicaciones de Brasil, y al menos tres tribunales federales suspendieron esta semana el acceso externo al SEI, el sistema electrónico que tramita los expedientes administrativos del gobierno, tras la revelación de dos fallas graves de seguridad en PHP, uno de los lenguajes de programación más usados de internet. Las vulnerabilidades llevaban más de una década escondidas en el software y salieron a la luz con ayuda de inteligencia artificial, lo que provocó una alerta global: gobiernos de Finlandia a Japón retiraron sitios web por precaución, y agencias de seguridad de varios países exigieron correcciones inmediatas, según reportes de g1 y BBC News Brasil.
Para entender la magnitud del problema, piense en PHP como el mesero invisible de internet: cuando usted abre un sitio como Wikipedia, es el código que va hasta la "cocina" del servidor, busca la información y la sirve en su pantalla. Los rankings públicos ubican el lenguaje detrás de cerca del 70% de los sitios web, dijo a g1 Thiago Ayub, director de tecnología de Sage Networks. La falla permite que un atacante tome el control del servidor sin necesidad de usuario ni contraseña y robe datos confidenciales. En la práctica, es como descubrir que la cerradura de millones de puertas instaladas hace años puede abrirse con una llave maestra que cualquiera puede copiar.
Las fallas fueron reportadas inicialmente en agosto, de forma independiente y el mismo día, por la empresa de seguridad Calif y por OpenAI, la dueña de ChatGPT. Después, Wiz, una empresa de seguridad en la nube, informó que había encontrado otras formas de explotar las vulnerabilidades usando los modelos de IA Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI. Las compañías no escatimaron superlativos: Wiz calificó las fallas como las "más graves" detectadas por IA, y OpenAI habló de "uno de los problemas de seguridad más impactantes de la historia reciente". Conviene mirar los incentivos en juego: Wiz vende precisamente servicios de seguridad, y OpenAI y Google quieren demostrar que sus modelos son útiles más allá del chat. La alerta fue respaldada por agencias gubernamentales independientes, así que el riesgo es real. El tono del marketing, sin embargo, también responde a esos intereses comerciales.
En Brasil, la Anatel suspendió temporalmente el acceso externo al SEI y a otros servicios de la agencia en internet, con carácter preventivo. Los tribunales regionales federales de la 1ª, 4ª y 6ª regiones, instancias de apelación de la justicia federal brasileña, confirmaron medidas similares. "La medida tiene carácter preventivo y busca proteger la seguridad del sistema y la integridad de la información institucional", afirmó el TRF1, que no dio fecha para restablecer el acceso externo. El Centro Integrado de Seguridad Cibernética del Gobierno Digital (CISC) emitió una alerta el miércoles (21) para que los órganos públicos actualicen el software de inmediato. g1 consultó al Tribunal Superior Electoral sobre si las fallas afectan sistemas vinculados a las elecciones y aún esperaba respuesta. Hasta el momento no hay reportes de grandes impactos en el país, según especialistas consultados por el portal.
En el exterior, la reacción fue igual de rápida. La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió a las organizaciones corregir la falla o apagar los sistemas vulnerables y afirmó que el riesgo exige correcciones inmediatas en todos los departamentos y agencias del gobierno estadounidense. Reino Unido recomendó verificar la existencia de "puertas traseras instaladas por un atacante", y alertas similares salieron de la Unión Europea, Singapur y Australia. En Japón, la primera ministra Sanae Takaichi escribió en X: "Tenemos un pedido urgente para que todos tomen medidas esta noche". Wikimedia, el gobierno de Finlandia, el ayuntamiento de Edimburgo y la propia BBC están entre los que retiraron sitios del aire por un período. En Francia, hasta el sitio de la Prefectura de Policía de París quedó inaccesible a pedido de la agencia nacional de ciberseguridad. Los responsables de PHP lanzaron el miércoles las actualizaciones que corrigen las fallas y recomendaron que todos los usuarios actualicen de inmediato.
Lo que aún no sabemos
No se sabe si hackers explotaron las fallas durante los años en que pasaron desapercibidas. Los detalles técnicos recién ahora se están divulgando, y la tendencia es que los intentos de explotación aumenten en las próximas semanas, afirmó a la BBC el investigador Salil Kanhere, de la UNSW Sydney. La mayor preocupación son los sitios pequeños y sin mantenimiento, de organizaciones que no tienen equipo de seguridad y pueden tardar en actualizar, o ni siquiera saber que usan PHP.
En la práctica: si usted administra un sitio web, especialmente en WordPress, Moodle o Magento, todos basados en PHP, la orientación de los mantenedores es aplicar la actualización ahora o retirar la página del aire temporalmente, como hicieron la Anatel y los tribunales. Si usted es solo usuario, queda verificar si los servicios que utiliza volvieron a funcionar y seguir los comunicados oficiales de cada uno.