El equipo encargado de la seguridad de PHP, el lenguaje de programación que opera tras la mayoría de los sitios web, emitió un parche de emergencia para corregir dos vulnerabilidades críticas. Estas fallas podrían permitir que un atacante tome el control total de un servidor sin necesidad de ingresar ninguna contraseña.
El aviso oficial, difundido el martes en el portal php.net, asignó a ambas vulnerabilidades una puntuación de 9,2 sobre 10 en la escala CVSS, el estándar utilizado por la industria para medir la gravedad de los fallos de seguridad. La actualización estaba programada para las 14:00 UTC de este miércoles.
PHP es el motor que impulsa sistemas como WordPress, Drupal, Joomla y Magento, además de paneles de control de alojamiento y software que ni siquiera revela que lo usa internamente. Según la firma consultora W3Techs, este lenguaje sostiene cerca del 70% de los sitios web cuyo programa de servidor puede identificarse.
Las dos fallas permiten la ejecución remota de código: un atacante puede lograr que el servidor ejecute las órdenes que él mismo escriba sin haber iniciado sesión, según coincidieron varios investigadores. PHP no especificó qué parte del lenguaje está afectada ni qué configuración activa el problema, y señaló que esa información se revelaría recién con el parche.
El organismo de ciberseguridad de la Unión Europea, CERT-EU, recomendó a las organizaciones que no puedan aplicar la actualización de inmediato que consideren desconectar sus sitios de internet hasta tener el parche instalado. El Centro Nacional de Ciberseguridad del Reino Unido y la agencia equivalente de Australia emitieron alertas similares.
Una filtración apuró el calendario
El anuncio se adelantó a lo previsto porque la información se filtró. La empresa de investigación watchTowr confirmó en la red social X que los detalles de las fallas, que debían revelarse el jueves bajo un acuerdo de divulgación coordinada con otros investigadores, se conocieron un día antes mediante una publicación anónima.
watchTowr indicó que las vulnerabilidades son reales y que logró reproducir una de ellas en un entorno de prueba, aunque decidió no difundir los detalles técnicos hasta que el parche esté disponible. Por su parte, la firma de seguridad Huntress afirmó que hasta el martes no había detectado que las fallas estuvieran siendo explotadas en los sistemas de sus clientes.
Esa calma no duró. El director de tecnología de Cloudflare, Dane Knecht, escribió en X que la compañía ya observaba “ataques tempranos” contra sus clientes y que había implementado reglas de protección automática como medida provisional.
“Esto es solo un parche temporal. Actualicen apenas PHP libere la solución”, escribió.
Los sitios más viejos quedarán sin arreglo
El parche solo llegará a las versiones de PHP que aún reciben soporte activo: de la 8.2 a la 8.5. Las versiones 5, 7 y las primeras ramas de la serie 8 no tienen soporte de seguridad desde hace tiempo; sus usuarios no contarán con una solución oficial y deberán migrar a una versión reciente o aislar esos servidores de internet.
La firma de seguridad Mallory calculó, a partir de un relevamiento del buscador Shodan, que unos 884.000 servidores expuestos a internet ejecutan versiones de PHP que no recibirán el parche. Según un informe de la empresa Censys citado por Cybernews, solo el 14% de los sitios públicos de WordPress tiene instalada la última actualización disponible.
Esa combinación, advirtieron varios especialistas consultados por medios especializados, deja una ventana amplia para que los atacantes apunten a servidores desactualizados una vez que se publique el parche: comparar el código antes y después de una actualización suele ser, para quienes buscan explotar una falla, la forma más rápida de entender cómo funciona.
Empresas de alojamiento como GoDaddy y servicios de protección para WordPress como Wordfence publicaron guías para que los administradores de sitios identifiquen qué versión de PHP usan y se preparen para instalar la actualización en cuanto esté disponible. Ninguna ofreció, por ahora, una solución alternativa que reemplace al parche oficial.
PHP confirmó que junto con el lanzamiento, programado para hoy, dará a conocer qué partes del lenguaje estaban afectadas, qué versiones exactas corrían riesgo y los números de las versiones corregidas, información que hasta el cierre de esta nota seguía sin confirmarse de forma oficial.
Fuente: Infobae