CZ pide precaución al navegar tras dos fallos críticos de PHP: qué hay de cierto

Changpeng Zhao, fundador de Binance, dedicó el 21 de octubre un mensaje en X a un asunto que rara vez ocupa a un ejecutivo de criptomonedas: dos vulnerabilidades del lenguaje de programación PHP. El aviso superó el millón y medio de visualizaciones y pedía a sus seguidores prudencia al visitar cualquier web durante los días siguientes, con el argumento de que no todos los administradores aplican los parches a tiempo.

El mensaje se cerraba con «SAFU», el acrónimo que Binance popularizó para referirse a los fondos a salvo.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Por qué un ejecutivo de criptomonedas habla de PHP

Porque la relación es más directa de lo que parece. PHP es el lenguaje que sostiene WordPress, Magento y buena parte de la web, incluidos medios, tiendas y servicios del propio sector cripto. Un fallo que permita tomar el control de esos servidores no roba criptomonedas por sí solo, pero abre la puerta al paso siguiente: modificar lo que la web muestra.

Ahí es donde aparece el riesgo que conoce cualquiera que haya seguido los grandes robos de los últimos años. Una web comprometida puede cambiar una dirección de depósito, inyectar un formulario falso o colocar un script que pida firmar una transacción. El usuario cree estar en el sitio de siempre porque lo está: el dominio es correcto y el certificado también.

Qué dijo exactamente

El mensaje apunta tres cosas. Que se publicaron dos vulnerabilidades de PHP el 21 de octubre. Que afectan a servidores con aplicaciones muy extendidas como WordPress y Magento. Y que la explotación se confirmó poco después de la divulgación, lo que habría empujado a los equipos técnicos a aplicar protecciones de urgencia.

Las dos primeras afirmaciones son correctas y se pueden comprobar en las fichas oficiales de las vulnerabilidades, que las califican de críticas con 9,8 puntos sobre 10.

Lo que conviene matizar

La tercera afirmación merece más cuidado. A fecha de esta publicación, ninguna de las dos vulnerabilidades figura en el catálogo de vulnerabilidades explotadas de CISA, que es la referencia que utilizan los equipos de seguridad para dar por confirmado ese extremo. Los baremos oficiales tampoco les asignan todavía una madurez de explotación conocida.

Que no haya constancia pública no significa que no esté ocurriendo. Significa que, por ahora, es una afirmación sin respaldo oficial. Con dos fallos críticos y el parche ya publicado —un parche permite a cualquiera deducir dónde estaba el problema—, la ventana hasta los primeros intentos reales suele ser corta. Pero conviene distinguir lo que se sabe de lo que se teme.

Hay un segundo matiz, más importante para el lector. El aviso invita a tener cuidado al visitar webs, y eso puede entenderse mal: estos fallos no atacan al visitante, atacan al servidor. Tu navegador y tu billetera no son vulnerables a ellos. El riesgo es de segundo orden y requiere que alguien comprometa antes un sitio concreto.

Qué hacer, entonces

Dejar de navegar no es la respuesta, entre otras cosas porque un visitante no tiene forma de saber qué versión de PHP corre un servidor. Lo que sí está en su mano es lo de siempre, con más atención estos días:

• Desconfiar de cualquier web que pida de improviso conectar la billetera o firmar una transacción, sobre todo si es una que no suele pedirlo.
• Comprobar las direcciones de depósito en la pantalla del dispositivo, no en la del navegador.
• Mantener los fondos importantes en una cartera fría, donde cada firma exige confirmación física.