La crisis PHP de Japón muestra por qué el lenguaje aún domina internet
Un par de vulnerabilidades críticas de PHP desencadenaron mantenimiento de emergencia en servicios japoneses —desde plataformas de comercio electrónico hasta hosting en la nube. El despliegue del parche revela cuán profundamente Occidente subestima la presencia global de PHP.
Cuando un idioma del que nadie habla rompe todo
Inicia tu newsletter típica de tecnología en inglés y escucharás casi nada sobre PHP. Lo tratan como código heredado, algo en lo que corren los abuelos de internet. Entonces llega un martes y la mitad de los servicios digitales japoneses que interactúan con los consumidores se apagan para parchearlo.
Eso fue lo que ocurrió el fin de semana. Múltiples plataformas japonesas de alto perfil, incluida la SaaS de gestión preescolar Kodomon, el juego social de cartas Shadowverse: Worlds Beyond, el proveedor de servidores en alquiler Sakura y el constructor de comercio electrónico BASE, entraron en mantenimiento de emergencia tras la divulgación de dos vulnerabilidades críticas en PHP. X Server, el servicio de subastas en línea pictSQUARE, el mercado de reciclaje Kinburu y la plataforma de crowdsourcing Tsunagu también se esperaba que siguieran el mismo camino. Varias de estas confirmaciones llegaron a través de comunicados de las empresas y reportes de ITmedia News.
Para un lector externo, esto parece un incidente de seguridad routine. No lo es. Es una prueba de estrés de un supuesto que los medios tecnológicos occidentales llevan consigo sin formularlo en voz alta: PHP ya está muerto.
No está muerto. Está invisible, y la invisibilidad es peligrosa.
Los números detrás de la interrupción
Según W3Techs, aproximadamente el 70 por ciento de los sitios web con un lenguaje del lado del servidor identificable aún ejecutan PHP. Esa cifra incluye WordPress, que impulsa cerca del 43 por ciento de todos los sitios web a nivel global. Las dos vulnerabilidades en el centro de este incidente obtienen ambas una puntuación de 9.2 en la escala CVSS v4.0. Cualquier cosa por encima de 9.0 se clasifica como Crítica: el mismo nivel que ocupa la exploit Log4Shell que sacudió el ecosistema de Java en 2021, o la falla MOVEit transfer que dejó postrados a gobiernos y corporaciones en 2023.
El equipo de desarrollo de PHP programó una actualización de seguridad para las 11 p. m. del 21, momento en el que publicarán los detalles técnicos completos, las versiones afectadas y las compilaciones corregidas. También instan a todos los usuarios de PHP a prepararse con anticipación para desplegar el arreglo tan pronto como esté disponible. La sede Nacional de Estrategia de Ciberseguridad de Japón emitió un llamado paralelo a la respuesta rápida.
El momento es notable. El mantenimiento de emergencia en decenas de empresas independientes el mismo día sugiere una urgencia coordinada más que un descubrimiento orgánico. Eso normalmente significa que la información sobre la vulnerabilidad se compartió a través de un proceso de divulgación coordinada antes de que el parche público llegara —un escenario en el que la ventana entre la conciencia y la explotación es increíblemente estrecha.
Qué se pierde en esta historia para los lectores occidentales
Hay al menos tres cosas que se pierden cuando esta historia cruza el Pacífico.
Primero, la densidad de PHP en la infraestructura digital de Japón es mayor que el promedio global en varios sectores. Shadowverse: Worlds Beyond por sí solo opera sobre infraestructura que depende en gran medida de servicios backend respaldados por PHP. BASE, que sirve como la plataforma principal de tiendas para cientos de miles de pequeños vendedores japoneses, se ejecuta en PHP. Sakura y X Server son proveedores de alojamiento en alquiler: el tipo de empresa que aloja no uno sino miles de sitios más pequeños, muchos de ellos con instalaciones de PHP sin parchear. Cuando estos proveedores pausan sus operaciones por mantenimiento, no solo afectan a sus propios usuarios. Afectan a cada sitio que alojan que no haya aplicado un parche o se haya movido completamente de PHP.
Segundo, la palabra “mantenimiento de emergencia” significa algo diferente en Japón que en Silicon Valley. No es un comodín para “lanzaremos un hotfix en el próximo sprint”. Es un cierre visible y coordinado que los clientes ven como una página de estado y una notificación push. Para los usuarios de Kodomon —padres y administradores que dependen de una herramienta de programación y comunicación para centros de cuidado infantil— esa interrupción tiene una textura humana que un artículo puramente técnico no puede transmitir.
Tercero, los efectos globales en cascada son reales pero poco comprendidos. Cada sitio de WordPress que se ejecuta en un servidor proporcionado por Sakura, X Server o cualquier otra empresa de alojamiento afectada comparte la misma superficie de ataque. Si una instancia dada no se ha actualizado desde PHP 8.2 o anterior, está expuesta. Un operador de botnets que escanea internet no le importa las fronteras nacionales. La misma vulnerabilidad que derriba una plataforma de comercio electrónico japonesa está disponible para cualquiera que sepa cómo escribir un script de explotación.
Quiénes ganan, quiénes pierden y qué sigue
Los ganadores en este escenario son las organizaciones que ya realizaron auditorías de inventario de PHP y pipelines automatizados de parcheo. Para la mayoría de las pequeñas empresas y desarrolladores individuales, la respuesta es nadie. Simplemente esperan estar en una versión parcheada y no haberse perdido el anuncio.
Los perdedores son los servicios que se vieron obligados a desconectarse y los usuarios que perdieron acceso a herramientas de las que dependen, ya sea una cuenta de juego, una tienda en línea o un sistema de gestión de cuidado infantil. El perdedor a largo plazo es la percepción pública de que PHP es un problema resuelto. No lo es. Es un cable vivo dentro de la cañería del internet moderno, y el hecho de que la mayoría de las personas no puedan verlo no lo hace seguro.
Lo que sigue es predecible. El parche se lanzará. La mayoría de los operadores responsables lo aplicarán en cuestión de horas. Unaminoría significativa no lo hará, ya sea porque ejecutan aplicaciones heredadas que no pueden tolerar la actualización, o porque simplemente son inconscientes de que usan PHP en absoluto. Esas instancias huérfanas permanecerán expuestas hasta la próxima oleada de explotación o la próxima emergencia.
La lección más profunda es que el romance continuo de la industria tecnológica con reescribir infraestructuras en lenguajes modernos coexiste de manera incómoda con una realidad de despliegue donde PHP aún ejecuta la mayoría de la web. Hasta que esa brecha se cierre —y no hay señales de que se cerrará pronto— incidentes como los de este fin de semana seguirán siendo la nueva normalidad. No porque las vulnerabilidades sean inusuales. Porque la dependencia es invisible, y esa invisibilidad hace que el próximo apagón sea más fácil de desencadenar de lo que cualquiera quiere admitir.