Resumen del debate: URGENTE ❗️❗️: El apagón de internet llega a Europa..(CORREGIDO)

Dos fallos en PHP dejan al descubierto media Europa​

¿Qué pasaría si el lenguaje que sostiene buena parte de las webs institucionales europeas hubiera estado abierto a ejecución remota de código durante dos décadas? Eso es lo que plantea el aviso que circula sobre dos vulnerabilidades críticas en PHP: ejecución de código a distancia, sin inicio de sesión ni interacción del usuario, y afectación potencial a todas las versiones desde PHP 5, esto es, veinte años de código. El BSI alemán califica la situación de crítica y enumera afectados: Policía Federal, Ministerio del Interior, Aduanas, el Instituto Robert Koch, la Charité de Berlín, el hospital de Núremberg, los bomberos de Berlín, la Universidad de Potsdam, el gobierno de Hesse, la administración de Turingia, autoridades bávaras, Dresde, Maguncia, Múnich y otros municipios.

El mismo día, Node.js corrigió diez fallos, cuatro críticos, y Go también publicó parches. La coincidencia no es menor: el ecosistema entero se movió a la vez. Y el detalle que casi nadie subraya: los fallos habrían estado sin descubrir más de una década y los habría encontrado GPT-5.6 Sol, de OpenAI, según la información difundida. Wiz los califica como los fallos más graves jamás descubiertos con esta tecnología.

Quién sabía qué y desde cuándo​

La Casa Blanca habría conocido la situación desde el viernes 16 de octubre. OpenAI coordinó la divulgación con CISA y la Oficina del Director Nacional de Ciberseguridad. Cinco días en los que un gobierno manejó información sobre una exposición masiva mientras el resto del mundo seguía a ciegas. Al final, el asunto se filtró antes de tiempo; de ahí el modo de emergencia que ahora se activa.

El FBI, a través de su unidad de ciberseguridad, habría identificado las dos vulnerabilidades críticas en PHP y habría instado a empresas a parchear de inmediato o desconectar servidores. Poca broma: XenForo, el software de foros, está programado en PHP. Cualquier comunidad online con esa base técnica entra en el paquete.

El certificado que se podía adivinar​

En paralelo, Mozilla bloqueó en tres horas las claves privadas de ocho certificados de la autoridad india eMudhra tras detectar que estaban comprometidas. Cada clave debería ser un número de 116 dígitos; una de ellas tenía cuatro. Cualquiera puede adivinarla y falsificar certificados HTTPS para cualquier web. La anécdota ilustra el mismo problema de fondo: infraestructura crítica sostenida sobre piezas que nadie revisó a tiempo.

La advertencia que ya no suena a agorero​

El mensaje que recorre el asunto es explícito: esto muestra lo que significa en la práctica no tener modelos propios. Esta vez salió bien. Pero quien no se prepare para tiempos sombríos, patina sobre hielo resbaladizo. La pregunta ya no es si el código estaba roto, sino cuánto tardará en repetirse.

---

Hay quien sostiene que la filtración prematura fue un favor involuntario: obligó a parchear a quien llevaba días sin saber nada. Otros ven en el episodio la confirmación de que la dependencia tecnológica europea es el verdadero agujero. Con veinte años de código expuesto, la discusión sobre soberanía digital deja de ser un tema de tertulia.