Techinfo
Durante la última semana, se identificaron dos fallas críticas en PHP, un lenguaje de programación fundamental para el funcionamiento de millones de páginas web en todo el mundo. Ante esta situación, los equipos de seguridad se vieron obligados a actuar rápidamente. Dado que esta tecnología también respalda numerosos sitios gubernamentales, los equipos de respuesta a incidentes informáticos, conocidos como CERT, comenzaron a emitir alertas. En Argentina, casi la mitad de los organismos que podrían verse afectados tomó medidas en respuesta a las recomendaciones del CERT nacional.
Ariel Cessario, excoordinador del CERT, comentó a Clarín que varios organismos, incluyendo argentina.gob.ar y los ministerios de Salud y Economía, implementaron las medidas sugeridas. Este proceso se llevó a cabo a través de un intercambio que incluyó correos de actualización, reuniones y contactos con agencias de Estados Unidos, Europa y Chile.
Cristian Borghello, especialista en ciberseguridad y autor del sitio Segu-info, explicó que PHP es un lenguaje de programación que permite la creación de los sitios web que utilizamos a diario. Aunque puede ser desconocido para la mayoría de las personas que no están familiarizadas con la tecnología, PHP fue desarrollado hace tres décadas y su uso es tan amplio que aproximadamente el 70% de las páginas web en el mundo dependen de él.
Este lenguaje opera en los servidores que alojan las páginas web, y las fallas detectadas podrían permitir que un atacante ejecute instrucciones desde internet sin necesidad de una cuenta o contraseña. Borghello advierte que "los delincuentes pueden aprovechar dichos errores para ingresar a sistemas críticos, robar datos personales, fiscales, administrativos y explotar esas debilidades en infraestructuras críticas como telecomunicaciones, transporte, luz, agua, energía atómica, entre otros".
En el ámbito estatal argentino, se enfrenta un problema significativo: la falta de un inventario exhaustivo de la infraestructura digital del gobierno. A esto se suma que muchos de los sistemas utilizados son legacy, es decir, antiguos. Esta situación complica aún más el escenario, dificultando la rápida actualización y el conocimiento sobre qué software utiliza cada dependencia.
La necesidad de actualizar y proteger los sistemas ante la amenaza de PHP2Shell se presenta en un contexto complicado para la ciberseguridad en Argentina. Ariel “Wata” Waissbein presentó su renuncia como director del Centro Nacional de Ciberseguridad el viernes 23, mientras que Cessario fue despedido el lunes 26 por la noche. Estos cambios se producen en medio de una reestructuración en el área, que está bajo la dirección de Adriana Baravalle, quien ocupa el cargo de secretaria de Innovación, Ciencia y Tecnología desde agosto. Actualmente, el CERT de Argentina cuenta con solo tres personas, mientras que PHP2Shell continúa siendo un desafío significativo a nivel nacional.
Argentina.gob.ar es el portal que centraliza las páginas institucionales de los organismos nacionales, donde se puede encontrar información sobre autoridades, servicios y trámites, y está desarrollado sobre Drupal, una plataforma que utiliza PHP para la publicación de contenidos. En este sitio se puede encontrar, por ejemplo, la presentación de ARCA, aunque el sistema para realizar gestiones tributarias opera de manera independiente. Además, existen servicios diferenciados como Mi Argentina, Trámites a Distancia y GDE, que pueden estar alojados en otros servidores y utilizar diferentes tecnologías. Esto implica que proteger el sitio gob.ar no garantiza la seguridad de toda la infraestructura digital del Estado, ya que algunos de los servicios mencionados no utilizan PHP y, por lo tanto, no serían vulnerables a PHP2Shell.
Cuando el martes 20 los responsables de PHP emitieron su advertencia, el CERT argentino ya había comenzado a notificar a sus contactos. La información había llegado la noche anterior a través de conexiones personales que Cessario había establecido con otros equipos de seguridad, lo que permitió anticipar el anuncio público. “El lunes a la noche automáticamente lo distribuimos a toda nuestra comunidad, que es todo el sector público nacional”, recuerda. En ese momento, aún no había una actualización pública disponible para instalar, por lo que las primeras recomendaciones se centraron en la mitigación: se sugirió reducir las posibilidades de que un atacante pudiera aprovechar la vulnerabilidad mientras se desarrollaba una solución, lo que en términos coloquiales se traduce en "desenchufar sistemas".
Actualizar el software subyacente implica realizar pruebas de compatibilidad, establecer ventanas de mantenimiento y reiniciar servicios, lo que frecuentemente retrasa la implementación efectiva de los parches. Aamir Lakhani, estratega global de seguridad e investigador de Fortinet, un proveedor de servicios de ciberseguridad muy solicitado en Argentina, explica que esto significa verificar que las aplicaciones sigan operativas tras la actualización y reservar un horario para realizar cambios que podrían interrumpir el servicio.
El CERT se puso en contacto con el responsable del sitio argentina.gob.ar para revisar las versiones que utilizaban y las recomendaciones y correcciones que podían aplicar. “Hasta el jueves, todo lo que nosotros les sugerimos, ellos lo hicieron casi automáticamente”, afirma Lakhani. En este contexto, los ministerios de Salud y Economía, que son algunos de los más representativos y frecuentemente atacados, combinaron las correcciones disponibles con otras medidas para mitigar el riesgo. Según Cessario, “aplicaron todas las medidas que se recomendaron desde el CERT”.
La rapidez en el contacto con estos organismos se debe a una historia previa de incidentes y colaboración. “Son los que más trabajan porque son los que más atacados están. Entonces siempre tuvimos una relación muy cercana y muy dinámica en eso. Nuestros canales de comunicación con ellos siempre fueron extremadamente rápidos”, señala Lakhani. Su confirmación se refiere al trabajo coordinado con esos equipos hasta el jueves 22. Sin embargo, sobre otros organismos mantiene una salvedad: “Es una gran incógnita, pero yo sé que muchos sí lo hicieron. Lo que pasa es que no los puedo confirmar”, asegura.
Parte de esta incertidumbre se debe a la organización de la infraestructura pública. La terminación gob.ar agrupa sitios nacionales, provinciales y municipales que pueden contar con tecnologías, servidores y responsables diferentes, mientras que argentina.gob.ar es un portal específico que centraliza información de organismos nacionales, autoridades, servicios y trámites. El sitio de Borghello, Segu-Info, identificó más de 35 mil sitios de gob.ar que podrían estar potencialmente afectados.
La ausencia de un registro integral complica la tarea de reconstruir qué elementos quedaron protegidos tras una emergencia. Según un experto, “no tienen visibilidad de lo que hay abajo; la parte importante del trabajo del CERT era justamente hacer el inventario de activos”. La ciberseguridad se basa en la premisa de que “no se puede proteger lo que no se conoce”.
El relevamiento realizado por Borghello y publicado en Segu-info proporciona una visión parcial de esta situación. En el análisis realizado el 29 de octubre a las 13:53, se examinaron 13.977 sitios de un total de 35.847, encontrando señales de PHP en 4.758 de ellos, lo que representa el 34% de los analizados. En 2.354 casos, se pudo confirmar el uso de PHP mediante evidencia explícita; en otros 2.404, se dedujo su utilización a partir de las aplicaciones detectadas. Esta magnitud fue considerada razonable por Cessario, quien fue consultado por Clarín. Es importante señalar que esta cifra refleja el uso de la tecnología, pero no indica cuántos sitios son vulnerables ni cuántos han sufrido un ataque.
De los aproximadamente 2.350 sitios que permitieron identificar una versión de PHP, el 47% correspondía a las versiones 4, 5 o 7, las cuales ya no reciben mantenimiento oficial. Además, un 9% utilizaba PHP 8.0 o 8.1, que también se encuentra fuera de soporte. Dado que la observación se realizó desde el exterior, los resultados requieren verificación por parte de los responsables de cada sistema.
Cessario mencionó que en el sector público nacional predominan las versiones 7 y 8. Sin embargo, la transición entre ambas puede ser compleja, especialmente cuando una aplicación antigua depende de funciones que han cambiado en las nuevas versiones del lenguaje. En tales casos, una migración puede requerir adaptar el programa y realizar pruebas antes de su implementación, lo que demanda personal, presupuesto y conocimientos sobre la estructura original del código.
“Pasar de la siete a la ocho ya no es trivial. No podés agarrar y hacerlo con dos mangos porque tenés que hacer todo un testeo completo de lo que es la base de ese código para que vos lo puedas migrar a ocho, saber cuáles son las cosas que rompen, cómo va a cambiar la lógica”, explica Cessario.
Borghello menciona entre las razones que llevan a mantener versiones antiguas de software “la complejidad y tamaño de los sistemas y datos almacenados, la distribución geográfica nacional o la obsolescencia de otras tecnologías relacionadas, como los servidores”. A estas dificultades técnicas, añade “la negligencia y la falta de decisión política”, así como la escasez de presupuesto, personal y conocimientos en ciberseguridad, en su crítica hacia los sistemas del Estado, que considera inadecuados para enfrentar los desafíos actuales.
Durante la gestión de la respuesta a la vulnerabilidad de PHP, el CERT contaba con solo cuatro integrantes, según Cessario, lo que hacía que la coordinación con los equipos de cada organismo fuera esencial. “No podemos ir por organismos ayudando porque no tenemos la capacidad. Éramos cuatro nada más. Ahora son tres, encima los chicos”, explica, refiriéndose a su despido, y describe que existieron “dos niveles de reacción”: critica a parte de la conducción, pero resalta que “los que trabajaron fueron los técnicos”, aunque aclara que algunos subsecretarios y directores nacionales sí se involucraron en el proceso, lo que demuestra un esfuerzo conjunto en medio de la crisis.
De este modo, las renuncias de Cessario y Waissbein se produjeron tras una semana particularmente crítica, en la que la emergencia de PHP generó una conmoción en el ámbito online, dado que es una tecnología poco conocida por muchos, pero que está presente en numerosos sitios oficiales. “Qué mal momento para sacar al titular del CERT por una movida política”, comentaba una fuente cercana al entorno técnico y político, subrayando la descoordinación y la falta de apoyo en un momento tan delicado.
“Se vienen tres o cuatro años de muchos más ataques por la inteligencia artificial”, advierte Cessario, quien identifica una amenaza en los modelos de IA que podrían lanzarse antes de que finalice el año: “En estos dos meses, de aquí a fin de año, si se lanzan algunos de los modelos que están proponiendo de IA, vamos a tener un problema grave de ciberseguridad a nivel nacional”, advirtió, enfatizando la urgencia de tomar medidas preventivas.
Mientras tanto, persiste la incertidumbre sobre cuán protegidos están los sitios oficiales de Argentina y qué parte de su seguridad se encuentra expuesta a futuros (o, más bien, actuales) ciberataques, lo que genera preocupación entre los expertos en ciberseguridad y los ciudadanos que dependen de estos servicios digitales.
La situación de seguridad informática se ha vuelto crítica debido a la reciente falla global en PHP, un lenguaje de programación ampliamente utilizado en la web. Esta vulnerabilidad ha puesto en riesgo a numerosos sitios y servicios en línea, lo que ha llevado a diversas reacciones en el ámbito local.
En Argentina, las autoridades han intensificado las medidas de protección y monitoreo de los sistemas informáticos para mitigar los efectos de este ciberataque. Se están realizando evaluaciones exhaustivas de los sitios oficiales para garantizar su integridad y funcionamiento, mientras se recomienda a los usuarios mantener precauciones adicionales al navegar.
Fuente original: Clarín Tecnología.
