ACTUALIZACIÓN 1-La agencia de ciberseguridad advierte de que los sitios web podrían dejar de funcionar mientras PHP prepara una corrección crítica
Por Rajveer Pardesi y Raphael Satter
21 oct (Reuters) - Los desarrolladores del popular lenguaje de programación PHP anunciaron el miércoles que lanzarían parches para dos vulnerabilidades críticas, mientras que las autoridades de ciberseguridad de la UE advirtieron de que las organizaciones que no pudieran aplicar las correcciones deberían desconectar los sitios web afectados.
PHP se utiliza en gran parte de Internet, y durante el último día han circulado especulaciones sobre la posibilidad de que los sitios web que ejecutan este software pudieran estar expuestos a graves intrusiones cibernéticas.
«PHP está en todas partes. Funciona de forma discreta en sitios de WordPress, Drupal, Joomla y Magento, en plataformas de alojamiento compartido, paneles de control y en muchísimo software que ni siquiera anuncia que utiliza PHP en segundo plano», afirmó la empresa de ciberseguridad Huntress en una entrada de blog.
En una actualización de seguridad, PHP indicó que ambas vulnerabilidades habían recibido una puntuación de 9,2 en la escala de gravedad CVSS v4.0 e instó a los usuarios a «actualizar tan pronto como la versión esté disponible».
Según informó, estaba previsto que el parche para ambas vulnerabilidades estuviera disponible el miércoles a las 14:00 GMT.
Dane Knecht, director tecnológico de la empresa de seguridad web y en la nube Cloudflare NET.N, señaló que estaban surgiendo ataques y que Cloudflare estaba actualizando sus reglas de cortafuegos como medida provisional.
«Estamos observando los primeros ataques y actualizando las medidas de mitigación a medida que aparecen nuevos vectores. Se trata únicamente de una MEDIDA PROVISIONAL. Apliquen el parche tan pronto como PHP publique la actualización», afirmó en X.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) señaló el martes en un aviso que la calificación de 9,2 indicaba un riesgo de ejecución remota de código sin autenticación, un tipo de vulnerabilidad que puede permitir a los atacantes ejecutar código malicioso en sistemas vulnerables sin necesidad de iniciar sesión.
El CERT-EU instó a las organizaciones a prepararse para aplicar de inmediato los parches a los activos afectados y señaló que aquellas que no pudieran hacerlo deberían plantearse desconectar los sitios web afectados.
El Centro Australiano de Ciberseguridad (ACSC) publicó unas directrices similares, instando a las organizaciones a identificar los sistemas PHP en sus entornos, prepararse para aplicar parches y supervisar las aplicaciones en busca de indicios de actividad maliciosa.
«El ACSC no tiene constancia, por el momento, de que estas vulnerabilidades estén siendo explotadas activamente», afirmó la agencia.
El proveedor de alojamiento web GoDaddy señaló que las fallas podrían permitir a los atacantes ejecutar código en los servidores afectados a través de Internet, lo que podría dar lugar al robo de datos, la alteración de sitios web o el compromiso total del sistema.
Wordfence, un complemento de seguridad que protege los sitios web de WordPress, señaló que todos los sitios de WordPress se ejecutan en un servidor con PHP instalado. Advirtió de que las actualizaciones automáticas no aplicarían la corrección y aconsejó a los propietarios de los sitios que averiguaran quién es el responsable de actualizar PHP en sus sitios.
El equipo de seguridad de PHP indicó que los detalles de las vulnerabilidades, las versiones afectadas y las versiones corregidas se publicarían cuando se lanzaran los parches.
CERT-EU y el ACSC indicaron que todas las versiones de PHP a partir de la 5 podrían verse afectadas, aunque PHP no ha revelado qué versiones son vulnerables.
(En beneficio de las personas cuya lengua materna no es el inglés, Reuters automatiza la traducción de algunos artículos a otros idiomas. Dado que la traducción automática puede cometer errores o no incluir el contexto necesario, Reuters no se hace responsable de la exactitud del texto traducido automáticamente, sino que proporciona estas traducciones únicamente para conveniencia de sus lectores. Reuters no se hace responsable de los daños o pérdidas —del tipo que sean— causados por el uso de la función de traducción automática.)