Una agencia de la UE advierte de que podría ser necesario desconectar los sitios web afectados mientras PHP prepara parches para las vulnerabilidades
Por Rajveer Pardesi y Raphael Satter
21 oct (Reuters) - Los desarrolladores del popular lenguaje de programación PHP anunciaron el miércoles que publicarían parches para dos vulnerabilidades críticas, mientras que las autoridades de ciberseguridad de la UE advirtieron de que las organizaciones que no pudieran aplicar las correcciones deberían desconectar los sitios web afectados.
PHP se utiliza en gran parte de Internet, y durante el último día han circulado especulaciones sobre la posibilidad de que los sitios web que ejecutan este software puedan verse expuestos a graves intrusiones cibernéticas.
«PHP está en todas partes. Funciona de forma discreta en sitios de WordPress, Drupal, Joomla y Magento, en plataformas de alojamiento compartido, paneles de control y en muchísimo software que ni siquiera anuncia que utiliza PHP en segundo plano», afirmó la empresa de ciberseguridad Huntress en una entrada de blog.
En una actualización de seguridad, PHP indicó que ambas vulnerabilidades habían recibido una puntuación de 9,2 en la escala de gravedad CVSS v4.0 e instó a los usuarios a «actualizar tan pronto como la versión esté disponible».
Según indicó, estaba previsto que el parche para ambas vulnerabilidades estuviera disponible el miércoles a las 14:00 GMT.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) señaló el martes en un aviso que la puntuación de 9,2 indicaba un riesgo de ejecución remota de código sin autenticación, un tipo de fallo que puede permitir a los atacantes ejecutar código malicioso en sistemas vulnerables sin necesidad de iniciar sesión.
El CERT-EU instó a las organizaciones a prepararse para aplicar de inmediato los parches a los activos afectados y señaló que aquellas que no pudieran hacerlo deberían plantearse desconectar los sitios web afectados.
El Centro Australiano de Ciberseguridad (ACSC) publicó unas directrices similares, instando a las organizaciones a identificar los sistemas PHP en sus entornos, prepararse para aplicar parches y supervisar las aplicaciones en busca de indicios de actividad maliciosa.
«El ACSC no tiene constancia, por el momento, de que estas vulnerabilidades estén siendo explotadas activamente», afirmó la agencia.
El proveedor de alojamiento web GoDaddy señaló que las fallas podrían permitir a los atacantes ejecutar código en los servidores afectados a través de Internet, lo que podría dar lugar al robo de datos, la alteración de sitios web o el compromiso total del sistema.
El equipo de seguridad de PHP indicó que los detalles de las vulnerabilidades, las versiones afectadas y las versiones corregidas se publicarían cuando se lanzaran los parches.
El CERT-EU y el ACSC indicaron que todas las versiones de PHP a partir de la 5 podrían verse afectadas, aunque PHP no ha revelado qué versiones son vulnerables.
(En beneficio de las personas cuya lengua materna no es el inglés, Reuters automatiza la traducción de algunos artículos a otros idiomas. Dado que la traducción automática puede cometer errores o no incluir el contexto necesario, Reuters no se hace responsable de la exactitud del texto traducido automáticamente, sino que proporciona estas traducciones únicamente para conveniencia de sus lectores. Reuters no se hace responsable de los daños o pérdidas —del tipo que sean— causados por el uso de la función de traducción automática.)