Marta Olea

Una pequeña reflexión sobre lo ocurrido estos últimos días con la seguridad de Internet. Lo primero, para todo aquel que pueda pensar que es alarmismo o exageración: no lo es. De hecho, es mucho más grave de lo que parece, y no tanto por los fallos en sí como por el lugar donde estaban. Dejad que os cuente… El pasado sábado día 17 se descubrió que las claves privadas de ocho autoridades de certificación intermedias de eMudhra, que dependen de raíces en las que confían Apple, Google, Microsoft y Mozilla, se habían generado de forma defectuosa. Tanto, que una de ellas era literalmente el número 4. Cualquiera podía calcularlas en menos de un segundo y emitir certificados HTTPS válidos para cualquier web. Y el error llevaba ahí desde abril de 2025. ¿Qué narices significa esto? Para entenderlo hay que saber primero qué es un certificado HTTPS. Podemos compararlo con el DNI de una web. Sirve para que el navegador compruebe que estás en la web auténtica y no en una imitación. Las autoridades de certificación son quienes expiden esos DNI, y su clave privada es el sello que los hace válidos. Con ese sello, cualquiera podía fabricar un DNI perfecto para la web de tu banco, de Hacienda o de tu correo, y el navegador lo aceptaría como auténtico. Y no solo son webs. Dos de estas autoridades servían además para firmar software, así que también permitían hacer pasar un programa malicioso por uno legítimo. Chrome y Firefox las bloquearon en cuestión de horas; Apple y Microsoft, en los días siguientes. Pero el resto del software que confía en ellas avanza bastante más despacio. Por si todo esto fuera poco, ayer martes día 20, antes de que existiera el parche, se filtró la existencia de dos vulnerabilidades críticas en el propio intérprete de PHP (CVE-2026-109618 y CVE-2026-109619, con una gravedad de 9,2/10). Ambas pueden permitir ejecutar código en el servidor sin credenciales. En algunas configuraciones, el ataque se produce antes de que se ejecute una sola línea de la aplicación, así que da igual lo bien programada que esté. Para que veáis el alcance, en Países Bajos han llegado a desconectarse de forma preventiva DigiD, MijnOverheid, la Cámara Baja y varios hospitales. Las correcciones se han publicado hoy, pero aplicarlas no es tan fácil como apretar un botón. Todavía hay servidores funcionando con PHP 8.1 o versiones anteriores, que ya no reciben actualizaciones oficiales; sus responsables dependen de que su distribución o su proveedor les ofrezcan un parche. Y la alternativa, saltar a una versión moderna de PHP, puede hacer que dejen de funcionar aplicaciones que no son compatibles con ella. ¿Y en qué te afecta a ti, si no gestionas servidores? En el caso de eMudhra, alguien que controlara tu conexión (una wifi pública o un router comprometido, por ejemplo) podría llevarte a una de esas webs falsas sin que notaras nada. Los navegadores ya lo han bloqueado, pero conviene tener al día el móvil, el ordenador y las aplicaciones. En el de PHP, ten en cuenta que tus datos no están en tu ordenador, sino en los servidores de las tiendas, administraciones y servicios que usas, y muchos funcionan con PHP. Si alguno no se actualiza a tiempo, quien entre podría llevarse esos datos o modificar la web para engañarte. Ahí poco puedes hacer, salvo usar contraseñas distintas en cada sitio y estar atento a los avisos de esos servicios. Y si tienes un blog o una web pequeña, pregunta a tu proveedor de alojamiento si ya ha actualizado PHP: actualizar WordPress no basta, porque el fallo está una capa por debajo. Por eso decía al principio que lo grave no son los fallos en sí, sino dónde están. Ninguno de los dos están en algo que el usuario pueda ver ni que quien mantiene la web pudiera evitar, sino en los cimientos, en quien certifica que una web es quien dice ser y en el motor que ejecuta buena parte de Internet. Por eso es tan gordo.