Braziltopia

La Anatel, el regulador de telecomunicaciones de Brasil, y al menos tres tribunales federales suspendieron este jueves (22), por precaución, el acceso externo al SEI (Sistema Eletrônico de Informações), la plataforma usada por el gobierno federal y el Poder Judicial para tramitar procesos administrativos y judiciales, tras la identificación de dos fallas graves de seguridad en PHP, uno de los lenguajes de programación más usados de internet. El miércoles (21), el gobierno federal emitió una alerta a través del Centro Integrado de Seguridad Cibernética del Gobierno Digital (CISC), ordenando a los órganos públicos actualizar el software de inmediato. Según g1, las vulnerabilidades podrían permitir que atacantes tomen el control de los servidores que mantienen los sitios en funcionamiento, sin necesidad de usuario ni contraseña. Ya existe una actualización disponible para corregir el problema. Hasta el momento no hay reportes de grandes impactos en Brasil, según especialistas consultados por el portal, y ninguno de los órganos afectados informó indicios de intrusión o filtración de datos. Cronología del descubrimiento Las fallas fueron reportadas inicialmente en agosto de este año por la empresa de seguridad Calif y por OpenAI, que las identificaron de forma independiente el mismo día. Después, Wiz, empresa de seguridad en la nube, informó haber encontrado otras formas de explotar las vulnerabilidades, con el uso de los modelos de inteligencia artificial Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI. El miércoles (21) las fallas se hicieron públicas, los desarrolladores de PHP lanzaron la corrección de emergencia y el CISC emitió su alerta a los órganos brasileños. Las suspensiones preventivas llegaron este jueves (22). "Estos hallazgos están entre las vulnerabilidades más graves descubiertas en PHP y, posiblemente, en la historia del software", afirmó Wiz. Según la empresa, las fallas permanecieron sin respuesta durante más de una década porque descubrir y explotar vulnerabilidades de ese tipo era extremadamente complejo sin la ayuda de la IA. "Los rankings públicos aún señalan PHP como el lenguaje usado en cerca del 70% de los sitios. Con el descubrimiento de esta vulnerabilidad, los sitios que no se actualicen rápidamente podrán ser invadidos", dijo a g1 Thiago Ayub, director de tecnología de Sage Networks. Qué dicen los órganos La Anatel informó que suspendió temporalmente el acceso externo al SEI y a otros servicios de la agencia en internet, en carácter preventivo, mientras realiza evaluaciones técnicas. Los Tribunales Regionales Federales de la 4ª Región (TRF4) y de la 1ª Región (TRF1), cortes federales de apelación, confirmaron la suspensión del acceso externo al sistema. El TRF6 también dijo haber suspendido el acceso a su sistema de proceso judicial electrónico y al SEI por el mismo motivo. "La medida tiene carácter preventivo y busca resguardar la seguridad del sistema y la integridad de las informaciones institucionales. Por el momento, no hay previsión para el restablecimiento del acceso externo al SEI", afirmó el TRF1. La alerta provocó reacciones similares en otros países. La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió a las organizaciones corregir las fallas de inmediato o apagar los sistemas vulnerables. En Francia, sitios de administraciones locales, incluido el de la Prefectura de Policía de París, quedaron inaccesibles a pedido de la agencia nacional de ciberseguridad, tras lo que el Ministerio del Interior calificó de "detección de una vulnerabilidad crítica de seguridad". Según la BBC, Wikimedia, el gobierno de Finlandia y el ayuntamiento de Edimburgo también retiraron sitios del aire por precaución. El próximo paso depende de las evaluaciones técnicas en curso: la Anatel condicionó el restablecimiento de los servicios a la conclusión de esos análisis, y el TRF1 afirma que no hay previsión para el retorno del acceso externo. G1 consultó al Tribunal Superior Electoral (TSE) para saber si las fallas afectan sus sistemas y si hay posibles impactos en las elecciones, a días de la segunda vuelta presidencial, y aguarda respuesta.

La Anatel, el regulador de telecomunicaciones de Brasil, y al menos tres tribunales federales suspendieron esta semana el acceso externo al SEI, el sistema electrónico que tramita los expedientes administrativos del gobierno, tras la revelación de dos fallas graves de seguridad en PHP, uno de los lenguajes de programación más usados de internet. Las vulnerabilidades llevaban más de una década escondidas en el software y salieron a la luz con ayuda de inteligencia artificial, lo que provocó una alerta global: gobiernos de Finlandia a Japón retiraron sitios web por precaución, y agencias de seguridad de varios países exigieron correcciones inmediatas, según reportes de g1 y BBC News Brasil.Para entender la magnitud del problema, piense en PHP como el mesero invisible de internet: cuando usted abre un sitio como Wikipedia, es el código que va hasta la "cocina" del servidor, busca la información y la sirve en su pantalla. Los rankings públicos ubican el lenguaje detrás de cerca del 70% de los sitios web, dijo a g1 Thiago Ayub, director de tecnología de Sage Networks. La falla permite que un atacante tome el control del servidor sin necesidad de usuario ni contraseña y robe datos confidenciales. En la práctica, es como descubrir que la cerradura de millones de puertas instaladas hace años puede abrirse con una llave maestra que cualquiera puede copiar.Las fallas fueron reportadas inicialmente en agosto, de forma independiente y el mismo día, por la empresa de seguridad Calif y por OpenAI, la dueña de ChatGPT. Después, Wiz, una empresa de seguridad en la nube, informó que había encontrado otras formas de explotar las vulnerabilidades usando los modelos de IA Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI. Las compañías no escatimaron superlativos: Wiz calificó las fallas como las "más graves" detectadas por IA, y OpenAI habló de "uno de los problemas de seguridad más impactantes de la historia reciente". Conviene mirar los incentivos en juego: Wiz vende precisamente servicios de seguridad, y OpenAI y Google quieren demostrar que sus modelos son útiles más allá del chat. La alerta fue respaldada por agencias gubernamentales independientes, así que el riesgo es real. El tono del marketing, sin embargo, también responde a esos intereses comerciales.En Brasil, la Anatel suspendió temporalmente el acceso externo al SEI y a otros servicios de la agencia en internet, con carácter preventivo. Los tribunales regionales federales de la 1ª, 4ª y 6ª regiones, instancias de apelación de la justicia federal brasileña, confirmaron medidas similares. "La medida tiene carácter preventivo y busca proteger la seguridad del sistema y la integridad de la información institucional", afirmó el TRF1, que no dio fecha para restablecer el acceso externo. El Centro Integrado de Seguridad Cibernética del Gobierno Digital (CISC) emitió una alerta el miércoles (21) para que los órganos públicos actualicen el software de inmediato. g1 consultó al Tribunal Superior Electoral sobre si las fallas afectan sistemas vinculados a las elecciones y aún esperaba respuesta. Hasta el momento no hay reportes de grandes impactos en el país, según especialistas consultados por el portal.En el exterior, la reacción fue igual de rápida. La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió a las organizaciones corregir la falla o apagar los sistemas vulnerables y afirmó que el riesgo exige correcciones inmediatas en todos los departamentos y agencias del gobierno estadounidense. Reino Unido recomendó verificar la existencia de "puertas traseras instaladas por un atacante", y alertas similares salieron de la Unión Europea, Singapur y Australia. En Japón, la primera ministra Sanae Takaichi escribió en X: "Tenemos un pedido urgente para que todos tomen medidas esta noche". Wikimedia, el gobierno de Finlandia, el ayuntamiento de Edimburgo y la propia BBC están entre los que retiraron sitios del aire por un período. En Francia, hasta el sitio de la Prefectura de Policía de París quedó inaccesible a pedido de la agencia nacional de ciberseguridad. Los responsables de PHP lanzaron el miércoles las actualizaciones que corrigen las fallas y recomendaron que todos los usuarios actualicen de inmediato.Lo que aún no sabemosNo se sabe si hackers explotaron las fallas durante los años en que pasaron desapercibidas. Los detalles técnicos recién ahora se están divulgando, y la tendencia es que los intentos de explotación aumenten en las próximas semanas, afirmó a la BBC el investigador Salil Kanhere, de la UNSW Sydney. La mayor preocupación son los sitios pequeños y sin mantenimiento, de organizaciones que no tienen equipo de seguridad y pueden tardar en actualizar, o ni siquiera saber que usan PHP.En la práctica: si usted administra un sitio web, especialmente en WordPress, Moodle o Magento, todos basados en PHP, la orientación de los mantenedores es aplicar la actualización ahora o retirar la página del aire temporalmente, como hicieron la Anatel y los tribunales. Si usted es solo usuario, queda verificar si los servicios que utiliza volvieron a funcionar y seguir los comunicados oficiales de cada uno.