Por Canuto  

Dos vulnerabilidades críticas en PHP, un lenguaje que sostiene numerosos sitios web, activaron advertencias de ciberseguridad y llevaron a organizaciones de varios países a desconectar páginas mientras aplican la actualización. Investigadores las encontraron con ayuda de inteligencia artificial, y ya se reportan indicios de ataques tempranos.
***

  • La Fundación PHP publicó una actualización para corregir dos fallas que podrían facilitar la ejecución remota de código sin autenticación.
  • Finlandia y organismos de Países Bajos, Reino Unido, Estados Unidos, Japón, la UE y Australia emitieron medidas o advertencias.
  • Wiz estima que cerca del 70% de internet podría estar afectado, una cifra que BBC indicó que no pudo verificar.

Una alerta que llevó a desconectar sitios

Dos vulnerabilidades críticas en PHP desataron una respuesta de emergencia entre gobiernos y organizaciones que mantienen servicios en línea. La Fundación PHP publicó una corrección el miércoles por la tarde, mientras varias agencias recomendaron que quienes no pudieran instalarla a tiempo consideraran desconectar sus sistemas vulnerables.

La medida afectó a servicios y páginas de distintos países, aunque no todos confirmaron que su decisión estuviera directamente relacionada con los fallos. Finlandia suspendió temporalmente servicios web públicos del gobierno y la agencia de ciberseguridad de Países Bajos dijo que desactivaría su propio sitio; también quedaron inaccesibles páginas del Instituto Nacional de Salud y Medio Ambiente neerlandés y de la cámara baja del parlamento, la Tweede Kamer.

En el Reino Unido, el sitio del ayuntamiento de Edimburgo y las páginas de varios programas de la BBC, entre ellos Doctor Who y The Traitors, dejaron de estar disponibles. Sin embargo, ni el ayuntamiento ni la BBC confirmaron un vínculo con las vulnerabilidades de PHP, por lo que el reporte de BBC señaló que no podía darse por establecida esa relación.

La plataforma de arte DeviantArt también informó que estaba temporalmente fuera de servicio por mantenimiento, pero no explicó el motivo. La coincidencia de cierres y advertencias muestra el alcance operativo de una vulnerabilidad en una tecnología extendida, aunque cada organización debe confirmar si sus sistemas usan PHP y si están expuestos.

El alcance potencial y el riesgo técnico

PHP es un lenguaje utilizado para desarrollar sitios web y ejecutar funciones en servidores, por lo que puede operar detrás de páginas que no hacen evidente qué tecnología las sostiene. La firma de ciberseguridad Huntress destacó que aparece en sistemas asociados a WordPress, Drupal, Joomla y Magento, además de plataformas de alojamiento compartido, paneles de control y otros programas.

Wiz calculó que aproximadamente el 70% de internet podría verse afectado, pero BBC dijo que no pudo verificar esa estimación. La cifra debe leerse como una valoración de la firma y no como un recuento confirmado de sitios vulnerables, pues la exposición depende de las versiones y configuraciones que cada organización tenga instaladas.

El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea, CERT-EU, indicó que las puntuaciones de riesgo apuntaban al potencial de ejecución remota de código sin autenticación. En términos prácticos, un ataque de esa clase podría permitir a un intruso ejecutar instrucciones en un servidor sin iniciar sesión, con capacidad potencial para instalar malware o dejar una página fuera de servicio.

La Agencia de Seguridad Nacional de Estados Unidos advirtió que estas vulnerabilidades pueden abrir una vía directa hacia el sistema de archivos o la base de datos del servidor. Esa posibilidad explica por qué las autoridades no limitaron sus recomendaciones a actualizar: también pidieron evaluar el aislamiento temporal de los sistemas cuando la corrección inmediata no fuera posible.

Parche, versiones y medidas de contención

El Centro Nacional de Ciberseguridad del Reino Unido recomendó instalar las correcciones y considerar dejar fuera de línea un sistema si la mitigación inmediata no era viable. Autoridades de la Unión Europea y Australia emitieron llamados similares, mientras la oficina nacional de ciberseguridad de Japón también advirtió sobre el problema.

La Agencia de Seguridad Nacional estadounidense publicó un consejo en el mismo sentido: las organizaciones que no pudieran actualizar debían valorar desactivar los sistemas expuestos. Por su parte, la Casa Blanca dijo que agencias federales trabajaban con laboratorios líderes de inteligencia artificial para acelerar la corrección, sin que el reporte detallara el alcance concreto de esa colaboración.

La situación de las versiones añade complejidad a la respuesta. CERT-EU señaló que el fallo podría afectar a todas las versiones desde PHP 5, lanzada en 2004, mientras la Fundación PHP publicó actualizaciones para las versiones más recientes y se instó a los usuarios de PHP 8.1 o anteriores a actualizar.

El desafío no consiste únicamente en aplicar un parche a los servidores conocidos, sino en descubrir dónde funciona PHP dentro de una organización. Don Smith, de la Unidad de Amenazas de Sophos, dijo a BBC que el lenguaje puede estar bajo sitios públicos, sistemas de gestión de contenido, servicios de alojamiento y productos de terceros sin que el usuario tenga claro que depende de él.

La IA encuentra fallas y aparecen señales de ataque

Las vulnerabilidades fueron descubiertas por investigadores de ciberseguridad de Calif y Wiz, que usaron herramientas de inteligencia artificial creadas por OpenAI. Wiz describió los hallazgos como las vulnerabilidades más graves que la tecnología había encontrado, mientras OpenAI calificó el caso como uno de los problemas de seguridad más impactantes de los últimos tiempos.

Según las firmas, los fallos habían pasado inadvertidos durante más de una década. Wiz sostuvo que los modelos de IA de frontera hicieron práctico el trabajo de desarrollar y adaptar exploits funcionales para varias aplicaciones en cuestión de horas, una capacidad que puede acelerar la investigación defensiva, pero también vuelve crucial una respuesta rápida cuando la vulnerabilidad se conoce.

La urgencia aumentó después de que Dane Knecht, director de tecnología de Cloudflare, dijera que estaban apareciendo ataques tempranos y que la empresa actualizaba sus medidas de mitigación a medida que surgían nuevos vectores. Esa declaración no identifica a los responsables ni confirma la escala de los intentos, pero advierte que el riesgo ya no es solamente teórico.

Don Smith advirtió que las organizaciones deberían buscar señales de que un atacante ya hubiera logrado establecer una posición en sus sistemas, además de instalar las correcciones. El NCSC británico también recomendó mantener la vigilancia sobre nuevas actualizaciones de proveedores externos, incluidos dispositivos y servicios que puedan incorporar PHP, porque el software vulnerable no siempre es visible en el inventario habitual.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados