La EHU restringe el acceso a sus aulas virtuales por una alerta de seguridad

La EHU ha limitado temporalmente el acceso desde fuera de su red a varias plataformas, entre ellas eGela, utilizada como aula virtual. Para entrar desde casa o desde cualquier otra conexión externa, el alumnado debe conectarse primero a la red de la universidad mediante una VPN, una herramienta que permite acceder a distancia a sus servicios internos de forma segura.

La medida responde, según ha comunicado la institución a la comunidad universitaria, a una vulnerabilidad de seguridad identificada en PHP, una tecnología empleada para hacer funcionar páginas y aplicaciones de internet. La universidad ha interrumpido algunos servicios y restringido otros mientras realiza comprobaciones y adopta medidas de protección. En su mensaje subraya que estas actuaciones tienen un carácter "exclusivamente preventivo".

Las restricciones afectan a eGela, eGelaPI, OCW, ehuon y OJS. La EHU indica que la obligación de utilizar la VPN desde el exterior es temporal y se retirará cuando sea posible, aunque su aviso público no concreta una fecha para recuperar el acceso habitual.

Una conexión segura para entrar desde fuera

En la práctica, quienes quieran consultar las plataformas afectadas desde casa deben establecer primero esa conexión con la universidad y después acceder al servicio. La EHU dispone de instrucciones para instalar y configurar FortiClient VPN, que funciona con la cuenta corporativa y un segundo paso de verificación de identidad.

El comunicado al alumnado remite a www.ehu.es/vpn para completar la instalación y al Centro de Atención a Usuarios para resolver problemas. La universidad mantiene como vías de contacto el correo cau@ehu.eus y el teléfono 946 014400, recogidos también en su aviso público sobre las restricciones.

Fallos investigados con ayuda de inteligencia artificial

El aviso de la EHU coincide con una alerta internacional por dos fallos críticos de PHP, conocidos conjuntamente como PHP2Shell. Estas vulnerabilidades pueden permitir, bajo determinadas condiciones, que un atacante ejecute órdenes en un servidor desde internet sin disponer de una cuenta ni contraseña. Las correcciones se publicaron el 21 de octubre, y las autoridades europeas de ciberseguridad instaron a las organizaciones a actualizar sus sistemas de inmediato.

La inteligencia artificial ha tenido un papel relevante en la investigación. Según OpenAI, la empresa de seguridad Calif identificó uno de los fallos con ayuda de su modelo GPT-5.6 Sol. Por su parte, Wiz comunicó ambos problemas de forma independiente y explica que empleó varias herramientas de IA para analizar las vulnerabilidades, demostrar cómo podían aprovecharse y comprobar las soluciones.

El descubrimiento, sin embargo, no se produjo esta semana. Wiz sitúa sus primeros hallazgos en agosto, mientras que la Fundación PHP señala que ya se habían encontrado indicios de uno de los problemas en 2024. La novedad de estos días es la publicación de los detalles y de las actualizaciones, que ha llevado a distintas organizaciones a revisar sus servicios.

Medidas preventivas mientras se revisan los sistemas

En el Estado, el Centro Criptológico Nacional recomendó actualizar inmediatamente las aplicaciones basadas en PHP. Cuando no fuera posible hacerlo de inmediato, aconsejó aislar los servicios conectados a internet cuyo funcionamiento no resultara indispensable hasta disponer de la solución.

La EHU no identifica en el comunicado remitido a su comunidad los códigos concretos de las vulnerabilidades ni informa de una intrusión o de un robo de datos. Su mensaje sitúa las restricciones en el terreno de la prevención y señala que los equipos técnicos trabajan para restablecer la normalidad de forma progresiva y con garantías de seguridad.