Según Amazon, se está explotando de forma generalizada dos vulnerabilidades de PHP apodadas «PHP2Shell», lo que crea un problema urgente de parcheo para las organizaciones que operan sitios web y servidores basados en PHP.
El informe que describe la divulgación indica que los desarrolladores de PHP publicaron actualizaciones de seguridad el miércoles. La NSA recomendó a toda organización que use PHP actualizar de inmediato o, si no es posible aplicar el parche con prontitud, desconectar los sistemas afectados hasta que puedan mitigarse por completo.
El informe disponible no identifica las ramas de PHP afectadas, los números de versión vulnerables ni las versiones corregidas. Tampoco proporciona identificadores CVE, así que los administradores no deben dar por sentado que una instalación concreta es segura solo porque sea relativamente reciente.
Amazon detectó un intento de explotación antes de la divulgación
Amazon afirmó el miércoles que había detectado un intento de explotar el fallo cuatro días antes de que las vulnerabilidades se hicieran públicas. La empresa también describió los fallos como explotados de forma generalizada en entornos reales.
Ese relato aporta pruebas de explotación activa, aunque el informe no atribuye la actividad a un atacante concreto ni cuantifica el número de sistemas atacados o comprometidos.
Investigadores de las empresas estadounidenses de ciberseguridad Calif y Wiz encontraron las dos vulnerabilidades, que según el informe habían pasado inadvertidas durante más de una década. Los modelos de OpenAI y Google ayudaron en la investigación, mientras que, según se informa, OpenAI, PHP, Calif y Wiz colaboraron para validar los hallazgos y preparar los parches. Wiz pertenece a Alphabet.
Los ataques exitosos podrían exponer servidores y bases de datos
La NSA advirtió que los fallos a menudo pueden dar a los atacantes una vía directa al sistema de archivos o a la base de datos de un servidor. El Centro Nacional de Ciberseguridad del Reino Unido afirmó que la explotación podría permitir a un atacante tomar el control de un servidor web sin proporcionar una contraseña ni otras credenciales de inicio de sesión.
Estas consecuencias podrían poner en riesgo el contenido de los sitios web, los archivos de aplicaciones y los servicios respaldados por bases de datos, según cómo esté configurado el servidor afectado. El informe no ofrece las causas técnicas de fondo de las vulnerabilidades ni los requisitos precisos para explotarlas.
Según se informa, algunos gobiernos europeos estaban desconectando sitios web mientras aplicaban los parches. En Estados Unidos, la Casa Blanca dijo que las agencias federales estaban evaluando los posibles efectos en las redes gubernamentales y en las infraestructuras críticas.
El alcance de PHP dificulta priorizar los parches
Wiz calcula que alrededor del 70 % de los sitios web del mundo usan PHP. Esta cifra describe la adopción de PHP, no la proporción de sitios confirmados que ejecutan versiones vulnerables.
WordPress es especialmente relevante porque la plataforma está escrita principalmente en PHP y depende de este lenguaje para funcionar. Sin embargo, el informe no establece que cada sitio WordPress o cada instalación de PHP sea vulnerable.
Los administradores deben identificar los sistemas que ejecutan PHP, priorizar los servidores de producción expuestos e instalar las actualizaciones de seguridad de PHP publicadas el miércoles. Cuando un sistema afectado no pueda actualizarse de inmediato, la recomendación de la NSA es desconectarlo hasta que sea posible una mitigación completa. Como el informe no especifica los números de versión corregidos, los equipos deben verificar que los paquetes que despliegan incluyen las correcciones de PHP2Shell de los desarrolladores de PHP, en lugar de confiar solo en el estado de actualización del sistema operativo.
OpenAI calificó las vulnerabilidades como uno de los hallazgos de seguridad más trascendentes de los últimos tiempos. Según la empresa, la IA de vanguardia ayudó a los defensores a descubrirlas antes que los atacantes, aunque advirtió de que esas mismas capacidades podrían acelerar el desarrollo de exploits, una preocupación especialmente inmediata ahora que Amazon ha informado de explotación activa.
