PHP publica parches de seguridad tras las vulnerabilidades de PHP2Shell, que provocaron millones de intentos de explotación.

PHP publicó parches de seguridad el 21 de octubre para dos vulnerabilidades críticas apodadas PHP2Shell que permiten tomar el control no autorizado de servidores, lo que llevó a gobiernos y organizaciones a dejar sitios web fuera de servicio. Los fallos afectan a las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 de PHP, que en conjunto impulsan aproximadamente el 70 % de los sitios web cuyo lenguaje de programación del lado del servidor se conoce. El director ejecutivo de Cloudflare, Matthew Prince, informó de millones de intentos de explotación tras la divulgación pública, mientras que la BSI de Alemania y el Gobierno de Japón afirmaron que no habían confirmado ninguna intrusión exitosa. PHP Foundation reveló que identificó los primeros indicios de una de las vulnerabilidades en 2024, pero retrasó su corrección debido a dificultades en la toma de decisiones y a recursos limitados.

PHP publica parches para las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35

PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el miércoles, según sus notas de publicación. La organización declaró: «No hay mitigaciones completas; actualizar es la única opción segura». Hasta el jueves, PHP no había publicado ningún parche adicional. Las versiones 8.1 y anteriores ya no reciben versiones oficiales, aunque el equipo de seguridad de PHP publicó parches para las versiones 7.4, 8.0 y 8.1 para quienes compilan el software por su cuenta. Las empresas de alojamiento, los departamentos de TI y los propietarios de sitios web deben instalar los parches manualmente y, después, reiniciar el software para que las correcciones surtan efecto.

Cloudflare registra millones de intentos de explotación

El director ejecutivo de Cloudflare, Matthew Prince, informó de que su red detectó miles de intentos de explotación en las 10 horas previas al anuncio público. Los intentos aumentaron a decenas de miles en los 45 minutos posteriores a la divulgación, a cientos de miles en dos horas y, posteriormente, a millones. Amazon afirmó que sus servidores señuelo registraron un intento de explotación el 17 de octubre, cuatro días antes de que las vulnerabilidades se hicieran públicas. El director de seguridad de la información de Amazon, CJ Moses, escribió: «No está claro cómo obtuvo el actor información sobre la vulnerabilidad antes de su divulgación», y añadió que PHP2Shell «ya se está explotando ampliamente en entornos reales».

Alemania y Japón no informan de intrusiones confirmadas

Thomas Caspers, vicepresidente de la agencia federal de ciberseguridad de Alemania, la BSI, dijo que la agencia observó ataques, pero ninguna explotación exitosa de los fallos, y afirmó: «Parece un poco más complicado de explotar de lo esperado». El secretario jefe del Gabinete de Japón, Minoru Kihara, también confirmó que no se había verificado ningún ataque que explotara los fallos.

PHP Foundation identifica fallos en los procesos de seguridad de 2024

PHP Foundation publicó el miércoles una entrada de blog en la que afirmaba que su trabajo de seguridad en 2024 «detectó los primeros indicios del problema de seguridad de memoria que subyace a CVE-2026-109618», en referencia al fallo de seguridad de memoria que está detrás de una de las vulnerabilidades. El equipo desarrolló «varios enfoques posibles» para resolverlo, pero «tuvo dificultades para elegir entre ellos y temía las consecuencias de tomar la decisión equivocada», según la fundación. La fundación escribió: «No vamos a fingir lo contrario: el retraso fue un fallo estructural, causado tanto por el proceso de toma de decisiones del equipo de seguridad como por su falta de recursos». El equipo de seguridad, que antes requería consenso, ahora decidirá por mayoría de votos.

Las organizaciones dejan sitios web fuera de servicio tras la divulgación

El Centro Nacional de Ciberseguridad del Reino Unido aconsejó a las organizaciones que consideraran «desconectar el sistema hasta que pueda mitigarse por completo». Entre los sitios web desconectados el miércoles figuraban los servicios de Wikimedia, sitios web y aplicaciones de Orange en decenas de países, 32 servicios del Gobierno del Reino Unido, hospitales neerlandeses y el proveedor federal de TI de Alemania, ITZBund, según TechRadar. La Oficina de Responsabilidad Presupuestaria del Reino Unido y el sitio web del ayuntamiento de Edimburgo volvieron a estar en línea el jueves. El sitio neerlandés anónimo de denuncia de delitos Meld Misdaad Anoniem seguía fuera de servicio el jueves por la mañana, según DutchNews.

Empresas de seguridad recomiendan auditar servidores y cambiar credenciales

La empresa de seguridad Tag1 recomendó a los administradores examinar los archivos PHP que no hayan sido cargados por usuarios autorizados, revisar las nuevas tareas programadas y cuentas, y cambiar las contraseñas de bases de datos y las claves API en los servidores expuestos a Internet que ejecutaran versiones vulnerables. La empresa de seguridad Mallory contabilizó aproximadamente 884.000 servidores accesibles desde Internet que ejecutan versiones de PHP que ya no reciben correcciones oficiales. Amazon aconsejó a los responsables de defensa: «No deben suponer que la fecha de divulgación pública fue la fecha más temprana de explotación», y recomendó revisar cualquier servidor que ejecutara una versión vulnerable desde, al menos, el 17 de octubre.

Preguntas frecuentes

¿Qué versiones de PHP recibieron parches de seguridad el 21 de octubre?
PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el miércoles para corregir las vulnerabilidades PHP2Shell. PHP afirmó que actualizar es la única opción segura, ya que no hay mitigaciones completas disponibles.

¿Cuántos intentos de explotación detectó Cloudflare tras la divulgación de PHP2Shell?
El director ejecutivo de Cloudflare, Matthew Prince, informó de miles de intentos en las 10 horas previas al anuncio, decenas de miles en los 45 minutos posteriores a la divulgación, cientos de miles en dos horas y, posteriormente, millones.

¿Qué organizaciones dejaron sus sitios web fuera de servicio tras la divulgación de la vulnerabilidad de PHP?
Según TechRadar, entre las organizaciones que dejaron sitios web fuera de servicio el miércoles figuraban los servicios de Wikimedia, sitios web de Orange en decenas de países, 32 servicios del Gobierno del Reino Unido, hospitales neerlandeses y el proveedor federal de TI de Alemania, ITZBund.