PoloSur
La inquietud surge a raíz de las posibles consecuencias de estas vulnerabilidades. En ciertas circunstancias, un atacante podría enviar una solicitud desde internet a un servidor vulnerable, logrando que este ejecute instrucciones sin requerir una contraseña. Esto podría permitir el acceso a archivos, bases de datos o incluso al funcionamiento de una página web. Ambas fallas han sido calificadas con un nivel de gravedad de 9,2 sobre 10.
La reacción ante esta alerta ya ha tenido resultados visibles. Varios sitios gubernamentales en países europeos quedaron temporalmente fuera de servicio mientras sus administradores evaluaban el riesgo o implementaban las actualizaciones necesarias. Asimismo, la organización que gestiona Wikipedia y, por un breve lapso, Internet Archive, también suspendieron algunos de sus sistemas. En estos casos, la interrupción se tomó como una medida de precaución, ya que el hecho de que una página deje de funcionar no implica necesariamente que haya sido objeto de un ataque.
La magnitud del problema justifica la urgencia en la respuesta. PHP se utiliza en el 69,3% de los sitios web cuya tecnología de servidor puede ser identificada por W3Techs, una empresa que analiza el uso de herramientas en la web. Esta cifra no indica que el 69,3% de internet haya sido atacado ni que todos esos sitios estén igualmente expuestos, pero sí ilustra la amplia difusión de la tecnología en la que se han encontrado las vulnerabilidades.
PHP es un lenguaje de programación que opera en el servidor donde se aloja un sitio web. Cuando un usuario accede a una página, el servidor puede utilizar PHP para buscar información, procesarla y preparar el contenido que será enviado al navegador. El visitante visualiza el resultado, aunque no tiene acceso al código que realizó ese trabajo.
Por ejemplo, en una tienda en línea, PHP puede desempeñar un papel crucial al mostrar productos, registrar una compra o consultar una cuenta de usuario. También es parte fundamental del funcionamiento de WordPress y de otras plataformas que se utilizan para crear blogs, medios de comunicación, comercios y portales institucionales. Por esta razón, una falla en PHP puede impactar en una amplia variedad de sitios web.
En resumen, la alerta sobre las vulnerabilidades en PHP resalta la importancia de mantener actualizados los sistemas y la necesidad de actuar rápidamente para proteger la integridad de los sitios web que dependen de esta tecnología.
El equipo de seguridad de PHP emitió una advertencia antes de revelar los detalles de dos vulnerabilidades críticas. Informaron que ambas vulnerabilidades tienen una gravedad de 9,2 sobre 10 y solicitaron a los administradores de servidores que se prepararan para realizar las actualizaciones necesarias. La publicación de las correcciones se programó para el miércoles 21 a las 14:00 UTC, lo que equivale a las 11:00 de la mañana en Argentina.
La fecha inicial para el lanzamiento de las correcciones era el jueves 22. Sin embargo, la PHP Foundation explicó posteriormente que el martes comenzaron a circular en foros y redes sociales los identificadores de las fallas, acompañados de información errónea sobre su gravedad y el momento previsto para la publicación de las soluciones. Ante esta situación, el equipo decidió adelantar tanto el aviso como la actualización. Además, se difundió por error un video que mostraba una prueba de ataque.
Este miércoles se lanzaron versiones corregidas para las ramas de PHP que reciben actualizaciones del proyecto. Las versiones afectadas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las instalaciones que utilizan versiones más antiguas deberán realizar una actualización proporcionada por su distribuidor o proveedor de alojamiento, si está disponible, o migrar a una versión compatible.
¿Qué puede hacer un atacante con estas vulnerabilidades? El riesgo principal se denomina ejecución remota de código. En términos sencillos, esto implica que una persona externa al servidor podría lograr que dicho equipo ejecute instrucciones de su elección. En los casos demostrados por los investigadores, el ataque puede iniciarse sin que el atacante posea una cuenta en el sitio.
Las consecuencias de este tipo de ataque varían según cada servidor y los permisos disponibles. Un atacante podría intentar leer información, modificar páginas o utilizar el equipo comprometido para otros fines. La PHP Foundation advierte que el riesgo afecta a las instalaciones que reciben solicitudes web, y que una de las formas de uso de PHP, conocida como mod_php, presenta un caso demostrado en el que el ataque puede activarse incluso antes de que se ejecute el código propio del sitio.
Empresas del sector tecnológico han reportado indicios de ataques iniciales, mientras que la PHP Foundation aseguró que, al momento de publicar las correcciones, su equipo no había detectado entre las pruebas disponibles un método de ataque que fuera funcional. Asimismo, la agencia estadounidense CISA indicó que no había observado ninguna explotación al momento de emitir su aviso. Hasta el momento, no se cuenta con una cifra verificada de sitios que hayan sido invadidos a causa de estas vulnerabilidades.
A esto se suma el hecho de que la inteligencia artificial está ayudando a los atacantes a identificar vulnerabilidades que pueden ser explotadas.
¿Por qué una falla en PHP afecta a tantos sitios? La razón radica en que muchos sitios web utilizan PHP, a pesar de tener diseños, propietarios y funciones completamente diferentes. Por ejemplo, una página web municipal, un comercio y un blog pueden estar construidos con plataformas distintas, pero todos dependen de ese mismo componente en sus servidores. Cuando se presenta un problema en PHP, simplemente actualizar el contenido o el diseño de la página no es suficiente.
WordPress ilustra la magnitud del problema. Esta plataforma es utilizada en aproximadamente el 40% de los sitios web, según datos citados por Reuters, y opera sobre PHP. Un sitio de WordPress puede recibir actualizaciones automáticas de la plataforma, pero aún así necesitará que su proveedor de alojamiento o su administrador actualice PHP de manera independiente.
Existe otra complicación: muchas páginas pequeñas utilizan servicios de alojamiento compartido. Los propietarios de estas páginas pueden gestionar textos e imágenes sin tener acceso a la configuración del servidor. En tales casos, la instalación de la corrección depende del proveedor que maneja la infraestructura.
¿Cómo se descubrieron las fallas y qué rol desempeñó la inteligencia artificial? La historia se remonta a antes de la alerta pública. La PHP Foundation reconoció que durante una auditoría de seguridad realizada en 2024 surgieron las primeras señales del problema que dio origen a una de las vulnerabilidades. En ese momento, no se había encontrado una forma concreta de aprovecharla para tomar control de un servidor. La organización admitió que el proceso para resolverlo se retrasó debido a dificultades técnicas, decisiones internas y falta de recursos, y calificó esa demora como una falla estructural.
En agosto de este año, un grupo de investigadores en seguridad presentó evidencias que permitieron comprender la magnitud del problema relacionado con las vulnerabilidades en PHP. Equipos de Calif, OpenAI y Wiz emplearon herramientas de inteligencia artificial durante sus indagaciones y coordinaron sus descubrimientos con los responsables del proyecto PHP. La inteligencia artificial facilitó la identificación y verificación de las formas en que se podían explotar las fallas; las soluciones fueron desarrolladas y publicadas por el equipo de PHP.
Esta misma capacidad de la inteligencia artificial incrementa la presión tras la publicación del parche. Una vez que las correcciones están disponibles, también se puede estudiar su contenido para entender los cambios realizados e intentar atacar a aquellos que aún no han realizado la actualización. Esta es una de las razones por las cuales los avisos de seguridad enfatizan la necesidad de actuar con rapidez.
¿Qué deben hacer los administradores de sitios web y los usuarios? Quienes gestionan un sitio deben verificar qué versión de PHP están utilizando y quién se encarga de su actualización. En caso de contratar un servicio de alojamiento, es recomendable consultar al proveedor para confirmar si ya se ha instalado la corrección. Si se gestiona un servidor propio, es necesario aplicar la versión corregida o el paquete de seguridad correspondiente a la distribución utilizada. El equipo de PHP advierte que las medidas temporales pueden mitigar algunas vías de ataque, pero que la actualización es la única solución integral.
En situaciones donde una organización no puede realizar la actualización de inmediato, las agencias de seguridad han sugerido considerar la retirada temporal de los sistemas afectados. Esta decisión explica parte de las interrupciones observadas este miércoles en sitios públicos europeos. Tras la instalación del parche, los responsables también deberán examinar sus sistemas para determinar si hubo actividad sospechosa durante el tiempo de exposición.
Para aquellos que simplemente navegan por páginas, utilizan tiendas en línea o leen un medio digital, no hay un parche de PHP que instalar en sus dispositivos móviles o computadoras, ya que PHP opera en el servidor del sitio. La responsabilidad urgente recae en los administradores de los sitios y en los proveedores de alojamiento.
El desarrollo de esta situación dependerá de cuántos servidores se actualicen antes de que se implementen métodos de ataque eficaces contra aquellos que continúan expuestos a posibles vulnerabilidades.
En el marco de la Ekoparty 22, un evento que reunió a expertos en ciberseguridad y tecnología, se llevaron a cabo diversas actividades innovadoras. Entre ellas, se destacó la posibilidad de chatear sin necesidad de conexión a internet, lo que generó gran interés entre los asistentes.
Además, se presentó una iniciativa de arte que utiliza basura electrónica, promoviendo la conciencia sobre el reciclaje y la reutilización de materiales tecnológicos. Por último, se organizó una olla popular de tecnología, donde se fusionaron la gastronomía y la innovación, reflejando el lema del evento: "abrazar el caos".
Fuente original: Clarín Tecnología.
