La Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (Agesic), órgano encargado de planificar y llevar a cabo las políticas de ciberseguridad del Estado uruguayo, entre otras cosas, trabaja en estas horas en la respuesta a una serie de fallos de seguridad que afectan a diferentes servicios web a nivel global.
Así lo informó al semanario Búsqueda y confirmó la diaria con la directora ejecutiva de la Agesic, Cristina Zubillaga, que remarcó que la medida obedece a una “actualización en forma preventiva”. Por el momento, no se han constatado ataques contra la infraestructura del Estado, afirmó.
De acuerdo con un documento conformado por el Centro Nacional de Respuesta a Incidentes de Seguridad Informática (Certuy), órgano dependiente de la Agesic, los fallos obedecen a “errores en el manejo de memoria y del estado interno durante el procesamiento de solicitudes” del lenguaje de programación PHP. Desde Certuy alertaron que “una explotación exitosa podría comprometer la integridad y la confidencialidad de la información alojada en el servidor, así como facilitar otras actividades maliciosas”.
Según información disponible en el portal tecnológico W3Techs, PHP es el lenguaje más utilizado por los sitios web con un lenguaje de programación conocido: más de dos de cada tres –69,3%– lo utilizan, ampliamente por delante de las demás tecnologías, que en ningún caso superan las dos cifras. Asimismo, indica que, del total, el 65,2% de esos sitios utilizan la versión 8 de dicho lenguaje, para la que se confirmaron las vulnerabilidades, mientras que un 34,8% restante se sirve de versiones inferiores, en cuyo caso también se reportaron afectaciones, pero aún no han sido verificadas.
De acuerdo con la cadena Reuters, las vulnerabilidades fueron detectadas mediante una inteligencia artificial y llevaron a la suspensión de varios sitios web de forma preventiva. Entre las organizaciones afectadas se encuentran gobiernos de diferentes países y la fundación Wikimedia, que opera la plataforma Wikipedia. Por su parte, otros servicios, como la plataforma de videojuegos GOG y el Internet Archive llevaron adelante tareas de mantenimiento, aunque no confirmaron que se debieran a las fallas.
Si bien en el reporte de Certuy se indica que aún no se constató el uso de dichas vulnerabilidades de forma activa por parte de actores externos, la “visibilidad” que cobran las fallas vuelven “muy probable” el hecho de que “en un breve período de tiempo surjan exploits [códigos que permiten aprovecharlas] de fácil acceso”. En ese sentido, el documento exhorta a las personas responsables de servidores y plataformas que puedan estar afectadas a actualizar la tecnología.
Zubillaga explicó que luego de recibir la actualización que atiende dichas vulnerabilidades en la mañana de este miércoles, la Agesic procedió a comunicarse con los distintos referentes en materia tecnológica de los organismos del Estado e instó a aplicarla. También lo hizo con una serie de actores del sector privado, de manera de propagar la respuesta también a ese nivel.
En ese sentido, el reporte de la Agesic da cuenta de una serie de aplicaciones de referencia que utilizan dicho lenguaje, como el gestor de contenidos de software libre Drupal, utilizado por el Estado para su plataforma gub.uy. Al momento de publicar este artículo, el portal está siendo actualizado y no se encuentra disponible, algo que Zubillaga dijo que podría insumir “un par de horas”. Igualmente, precisó que “es algo que no se hace habitualmente” y “se puede encontrar alguna dificultad no prevista” que extienda el plazo.
Más allá del episodio, Zubillaga reparó que es algo que “va a ser cada vez más habitual”, ante la presencia de herramientas de inteligencia artificial que permiten detectar posibles vectores de ataques, como en este caso. “Hay que estar preparado para algo que es cotidiano, que implica tener los equipos lo más alerta posibles, pero bueno, es una realidad compleja”, evaluó.
