Por Canuto  

Dos fallas críticas de PHP pueden permitir ejecutar código de forma remota sin autenticación. Kraken y otros expertos instan a instalar las correcciones y revisar también routers, dispositivos de almacenamiento y servicios que suelen quedar fuera de los inventarios.

***

  • PHP lanzó actualizaciones para cuatro versiones actuales tras identificar dos vulnerabilidades con una puntuación CVSS de 9,2 sobre 10.
  • Kraken recomendó buscar PHP incrustado en dispositivos de red y revisar los sistemas por posibles accesos o archivos maliciosos después de parchearlos.
  • Las alertas coinciden con correcciones de Node.js y la revocación de ocho certificados intermedios comprometidos de eMudhra.

 

 

PHP activa una alerta crítica y Kraken pide revisar hasta routers y dispositivos olvidados.

El equipo de PHP publicó el 21 de octubre actualizaciones para dos vulnerabilidades críticas que podrían permitir a atacantes ejecutar código en servidores web sin autenticarse. La advertencia también encendió las alarmas en el sector de criptomonedas: responsables de seguridad recomendaron no limitar la respuesta a los servidores visibles, sino revisar routers, equipos de almacenamiento y aparatos de proveedores que podrían incluir componentes de PHP.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación de 9,2 sobre 10 en la escala CVSS. Según CryptoSlate, el equipo de PHP había anticipado la alerta el 20 de octubre y describió como expuestas todas las instalaciones que procesan solicitudes web, con un riesgo particularmente elevado en mod_php para Apache.

Los parches corrigen dos fallas que pueden abrir la puerta a atacantes

Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El proyecto indicó que, en el caso de mod_php de Apache, un exploit demostrado puede ejecutarse antes de que comience el código de la aplicación; esto vuelve insuficiente confiar únicamente en las defensas implementadas dentro del propio programa.

Las dos vulnerabilidades involucran problemas distintos en el manejo interno del lenguaje. CVE-2026-109618 es una falla de ejecución remota de código relacionada con el manejo de errores por falta de memoria. Ambas vulnerabilidades pueden permitir la ejecución remota de código y se agrupan bajo el nombre PHP2Shell.

Cloudflare afirmó que observó tráfico de ataque dirigido a sus clientes y que los atacantes modificaban sus cargas útiles para intentar esquivar las protecciones. La compañía habilitó inicialmente reglas de firewall de aplicaciones web para todos sus planes, incluido el gratuito, pero luego recomendó a sus clientes de pago comprobar que el conjunto de reglas administradas estuviera activo en modo de bloqueo.

Dane Knecht, de Cloudflare, presentó esas reglas como una protección temporal, no como una solución definitiva. El equipo de PHP sostiene que actualizar es la única forma completa de corregir el problema, por lo que las barreras de red pueden reducir determinadas vías de ataque, pero no convierten en segura una instalación vulnerable.

Kraken advierte que el riesgo puede esconderse en equipos fuera del radar

Nick Percoco, de Kraken, pidió a las organizaciones actuar con rapidez frente a las instalaciones de PHP accesibles desde internet, en particular ante las señales de actividad de ataque reportadas por Cloudflare. Para los sistemas que no puedan actualizarse de inmediato, recomendó desconectarlos o colocarlos detrás de un firewall de aplicaciones web que impida el acceso directo al servidor de origen.

La respuesta no debería terminar cuando se instala el parche, advirtió Percoco, porque corregir la falla no expulsa automáticamente a un intruso que ya haya conseguido entrar. Por eso, aconsejó buscar cuentas administrativas no autorizadas, archivos PHP modificados y web shells, herramientas que permiten conservar acceso y ejecutar acciones dentro de un sistema comprometido.

Percoco también puso el foco en equipos que pueden quedar fuera de los inventarios habituales durante una emergencia: routers, dispositivos de almacenamiento conectados a la red, firewalls, paneles de control y aparatos de proveedores. Algunos pueden incorporar PHP y depender de actualizaciones de firmware distribuidas por sus fabricantes; Percoco advirtió que ciertos dispositivos quizá nunca reciban el parche necesario.

Ese escenario importa para exchanges, proveedores de billeteras y otras compañías de activos digitales, cuyas operaciones dependen de servidores interconectados, interfaces administrativas y servicios externos. Las advertencias citadas no informan de una brecha en Kraken ni en Ledger: describen un riesgo general para organizaciones que podrían usar software vulnerable en componentes centrales o periféricos de su infraestructura.

El Centro Nacional de Ciberseguridad del Reino Unido recomendó identificar las instalaciones de PHP, priorizar aquellas expuestas a internet y aplicar las actualizaciones. Si una organización no puede implementar pronto medidas temporales, el organismo también planteó considerar la desconexión de los sistemas vulnerables, una decisión que puede afectar servicios, pero evita dejar una puerta abierta mientras se prepara una corrección.

La alerta se suma a fallas de Node.js y problemas con certificados

El equipo de PHP también publicó backports mínimos de código fuente para las ramas 7.4, 8.0 y 8.1, que ya no cuentan con soporte del proyecto. Estos backports no restablecen el soporte de esas ramas. Quienes utilicen paquetes de distribuciones o servicios de soporte a largo plazo deben consultar a sus proveedores para confirmar si existe una corrección adaptada, o evaluar el paso a una versión que sí esté respaldada.

La situación coincidió con actualizaciones independientes de Node.js, que publicó las versiones 26.12.1, 24.22.1 y 22.23.4. Esos lanzamientos corrigen fallas de alta gravedad vinculadas con la verificación de certificados TLS, el manejo de DNS y un error en el decodificador Brotli que podría permitir ejecución remota de código.

Node.js se utiliza en servidores de aplicaciones, servicios de API y otros componentes de backend, incluidos los que conectan aplicaciones de criptomonedas con redes blockchain. Charles Guillemet, de Ledger, destacó la coincidencia de estas alertas con un incidente que involucró ocho certificados intermedios pertenecientes al proveedor indio de confianza digital eMudhra.

Las claves privadas de esos certificados eran excepcionalmente débiles, lo que podía permitir falsificar credenciales de sitios confiables e imitar servicios legítimos. Mozilla bloqueó los certificados afectados mediante el sistema OneCRL de Firefox el 17 de octubre y publicó actualizaciones adicionales del navegador; Cloudflare también desplegó protecciones y lanzó actualizaciones para sus clientes.

Cloudflare explicó que el problema de eMudhra afectaba la autenticación, no los algoritmos de cifrado de TLS, y señaló que su revisión no había encontrado explotación activa de ese incidente en sus propios servicios. Para las aplicaciones que dependen de certificados, recomendó actualizar los almacenes de confianza y las dependencias pertinentes, reconstruir las imágenes afectadas y verificar si se requiere reiniciar o volver a desplegar los sistemas.

Las alertas reunidas muestran que proteger servicios cripto no depende solo de asegurar una aplicación o una billetera, sino también de mantener al día los lenguajes, equipos de red, certificados y componentes que permiten conectarlos. La prioridad inmediata es identificar dónde se ejecutan PHP y Node.js, aplicar las correcciones disponibles y comprobar si hubo accesos previos, mientras los operadores confirman con sus proveedores qué dispositivos pueden recibir actualizaciones.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados