El equipo de seguridad de PHP, el lenguaje de programación que funciona detrás de la mayoría de los sitios de internet, anunció un parche de emergencia para dos fallas críticas que podrían permitir a un atacante tomar el control de un servidor sin necesidad de ninguna contraseña.
El aviso oficial, publicado el martes en el sitio php.net, calificó ambas vulnerabilidades con una puntuación de 9,2 sobre 10 en la escala CVSS, el sistema que la industria usa para medir la gravedad de una falla de seguridad. La actualización estaba prevista para las 14:00 UTC de este miércoles.
PUBLICIDAD
PHP es el motor detrás de WordPress, Drupal, Joomla y Magento, además de paneles de control de alojamiento y software que ni siquiera anuncia que lo usa por dentro. Según la consultora W3Techs, el lenguaje sostiene cerca del 70% de los sitios web cuyo programa de servidor se puede identificar.
Las dos fallas permitirían ejecutar código de forma remota: que un atacante logre que el servidor corra las órdenes que él mismo escriba, sin haber iniciado sesión, según coincidieron varios investigadores. PHP no detalló qué parte del lenguaje está afectada ni qué configuración activa el problema, y dijo que esa información llegaría recién con el parche.
PUBLICIDAD
El organismo de ciberseguridad de la Unión Europea, CERT-EU, recomendó a las organizaciones que no puedan aplicar la actualización de inmediato que consideren desconectar sus sitios de internet hasta tener el parche instalado. El Centro Nacional de Ciberseguridad del Reino Unido y la agencia equivalente de Australia emitieron alertas similares.
Una filtración apuró el calendario
El anuncio llegó antes de lo previsto porque la información se filtró. La empresa de investigación watchTowr confirmó en la red social X que los detalles de las fallas, pensados para revelarse recién el jueves bajo un acuerdo de divulgación coordinada con otros investigadores, se conocieron un día antes por una publicación anónima.
PUBLICIDAD
watchTowr dijo que las vulnerabilidades son reales y que logró reproducir una de ellas en un entorno de prueba, aunque decidió no difundir los detalles técnicos hasta que el parche esté disponible. La empresa de seguridad Huntress, por su parte, afirmó que hasta el martes no había detectado que las fallas estuvieran siendo explotadas en los sistemas de sus clientes.
Esa calma no duró. El director de tecnología de Cloudflare, Dane Knecht, escribió en X que la compañía ya veía “ataques tempranos” contra sus clientes y que había desplegado reglas de protección automática como medida provisoria. “Esto es solo un parche temporal. Actualicen apenas PHP libere la solución”, escribió.
PUBLICIDAD
Los sitios más viejos quedarán sin arreglo
El parche solo llegará a las versiones que PHP todavía mantiene activas, de la 8.2 a la 8.5. Las versiones 5, 7 y las primeras ramas de la serie 8 no reciben soporte de seguridad desde hace tiempo: sus usuarios no tendrán solución oficial y deberán migrar a una versión reciente o aislar esos servidores de internet.
La firma de seguridad Mallory calculó, a partir de un relevamiento del buscador Shodan, que unos 884.000 servidores expuestos a internet corren versiones de PHP que no recibirán el parche. Según un informe de la empresa Censys citado por Cybernews, solo el 14% de los sitios públicos de WordPress tiene instalada la última actualización disponible.
PUBLICIDAD
Esa combinación, advirtieron varios especialistas consultados por medios especializados, deja una ventana amplia para que los atacantes apunten a servidores desactualizados una vez publicado el parche: comparar el código antes y después de una actualización suele ser, para quien busca explotar una falla, la forma más rápida de entender cómo funciona.
Empresas de alojamiento como GoDaddy y servicios de protección para WordPress como Wordfence publicaron guías para que los administradores de sitios identifiquen qué versión de PHP usan y se preparen para instalar la actualización apenas esté disponible. Ninguna ofreció, por ahora, una solución alternativa que reemplace al parche oficial.
PUBLICIDAD
PHP confirmó que junto con el lanzamiento, programado para hoy, dará a conocer qué partes del lenguaje estaban afectadas, qué versiones exactas corrían riesgo y los números de las versiones corregidas, información que hasta el cierre de esta nota seguía sin confirmarse de forma oficial.
PUBLICIDAD
PUBLICIDAD
Últimas Noticias
El exjefe de seguridad de OpenAI volvió a la empresa al advertir que la IA entró en un nuevo nivel de riesgo
Aleksander Madry trabajará junto al científico jefe de la empresa, Jakub Pachocki, mientras OpenAI enfrenta una serie de incidentes de seguridad con sus modelos de inteligencia artificial
Cuatro creencias falsas sobre criptomonedas que todos deben conocer, según Binance
Durante años, la discusión sobre las criptomonedas se concentró casi exclusivamente en la variación de los precios
Más de 30 servicios públicos del Reino Unido no están disponibles por fallas de ciberseguridad global
Las fallas detectadas en PHP encendieron las alertas internacionales por los riesgos que representan para sistemas y aplicaciones conectados a internet
Una madre demandó a OpenAI por usar datos de sus hijos de 12 y 16 años para entrenar a ChatGPT
La demanda pide que los menores reciban acciones de la empresa, que busca una valuación de USD 1,4 billones antes de salir a la bolsa
Lanzan una IA gratuita que traduce el ADN a lenguaje cotidiano
El sistema corre en una sola placa gráfica y sus creadores advierten que todavía no fue validado en experimentos de laboratorio
