PHP expone una grave vulnerabilidad de seguridad, los operadores de sitios web globales ingresan urgentemente al estado de parcheo

Según el boletín de seguridad publicado por el equipo de desarrollo de PHP, la puntuación de gravedad de las dos vulnerabilidades es de 9,2 puntos, utilizando el sistema de puntuación de vulnerabilidades CVSS v4.0 con una puntuación total de 10 puntos. El equipo de desarrollo pide a todos los usuarios de PHP que se preparen con antelación y actualicen tan pronto como se publique una solución. El anuncio también indica que si los detalles de la vulnerabilidad se revelan con anticipación, o si se descubre que la vulnerabilidad realmente está explotada, el parche puede publicarse con anticipación.

PHP es el lenguaje de programación del lado del servidor más utilizado en la infraestructura de Internet. Muchos sitios web dependen de él para generar páginas web, manejar solicitudes de usuarios, conectarse a bases de datos y realizar lógica empresarial en segundo plano. Los principales sistemas de gestión de contenidos y plataformas de comercio electrónico, incluidos WordPress, Drupal, Joomla y Magento, utilizan PHP ampliamente. Por lo tanto, el impacto potencial de esta vulnerabilidad no se limita a un determinado software o a un determinado tipo de sitio web, sino que puede afectar a una gran cantidad de servicios de Internet.

Entre ellos, el alcance de la influencia de WordPress es particularmente notable. Los datos publicados por WordPress el año pasado mostraron que la plataforma admite más del 40% de los sitios web del mundo. La empresa de ciberseguridad Wordfence señala que los sitios web de WordPress a menudo se ejecutan en servidores con PHP instalado, por lo que mientras existan vulnerabilidades sin parchear en el entorno PHP subyacente, los sitios web relevantes pueden estar en riesgo.

Los investigadores de seguridad estiman que el número de servidores de Internet potencialmente afectados supera los 1,3 millones. Sin embargo, esta cifra es una estimación preliminar de los investigadores y no significa que todos los hosts relevantes se hayan visto comprometidos, ni se puede concluir que todos los sitios web se verán necesariamente afectados en la misma medida.

Las vulnerabilidades de ejecución remota de código son peligrosas porque un atacante podría enviar solicitudes especialmente diseñadas a un servidor vulnerable a través de la red para ejecutar código malicioso sin requerir una cuenta legítima o credenciales de inicio de sesión. Una vez que el ataque tiene éxito, las consecuencias pueden incluir la manipulación de las páginas del sitio web, el robo de datos en el servidor, la implantación de programas maliciosos e incluso un mayor control de todo el servidor. En el caso de los sitios web que almacenan perfiles de usuario, información de clientes o registros de transacciones, una infracción también podría provocar filtraciones de datos más amplias e interrupciones en el negocio.

La organización de investigación de seguridad watchTowr declaró que, según la información relevante filtrada actualmente, estas dos vulnerabilidades pueden afectar a múltiples versiones a partir de PHP 5. Sin embargo, antes de que PHP revele oficialmente todos los detalles de la vulnerabilidad y la lista de versiones afectadas, el alcance específico del impacto aún debe estar sujeto a anuncios oficiales.

Para complicar aún más las cosas, los webmasters no pueden confiar simplemente en la función de actualización automática de WordPress para resolver el problema. Wordfence recuerda específicamente que esta vez la vulnerabilidad existe en el propio PHP, no en el programa principal de WordPress o en un complemento. Por lo tanto, incluso si un sitio web ha actualizado automáticamente el núcleo y los complementos de WordPress, es posible que el entorno PHP en el que realmente se ejecuta el servidor deba actualizarse por separado.

Para los usuarios que utilizan alojamiento virtual, PHP suele ser mantenido por el proveedor de alojamiento; Si el sitio web se ejecuta en un servidor privado virtual autoadministrado, un servidor en la nube o un servidor independiente, la responsabilidad del mantenimiento puede recaer en el propietario del sitio web o en el administrador del sistema. Los operadores de sitios web deben confirmar la versión de PHP actualmente en uso, quién administra el servidor y si el proveedor de servicios implementará una versión de reparación de manera oportuna.

El Equipo Europeo de Respuesta a Emergencias de Ciberseguridad (CERT-EU) y el Centro Nacional de Seguridad Cibernética del Reino Unido han emitido advertencias, recomendando que las organizaciones que no puedan completar la reparación de inmediato deben aislar temporalmente las aplicaciones conectadas a Internet de la red pública o desconectar directamente los sitios web relevantes hasta que la vulnerabilidad se mitigue de manera efectiva. La UE señaló específicamente que la vulnerabilidad puede permitir a los atacantes ejecutar código malicioso sin iniciar sesión en el sistema, por lo que las organizaciones deben identificar los activos afectados con anticipación y prepararse para actualizaciones de emergencia.

Algunas instituciones ya han tomado medidas preventivas. El equipo de desarrollo del sistema operativo móvil GrapheneOS dijo que cerró temporalmente su foro de discusión de usuarios para evitar correr riesgos innecesarios mientras se está desarrollando un código de ataque de prueba de concepto para la vulnerabilidad. La desarrolladora de PHP Gina Peter Bagyard también dijo que instalar parches es la clave para resolver el problema; Si no se puede reparar a tiempo, apagar el servidor puede ser una opción más segura.

Los investigadores de ciberseguridad también advirtieron que después del lanzamiento del parche, los atacantes podrían analizar rápidamente las diferencias de código antes y después del parche, descubrir cómo explotar la vulnerabilidad y lanzar ataques a gran escala en servidores que no han sido actualizados. La organización de investigación de seguridad Sansec predice que pueden ocurrir ataques a gran escala tan solo 15 minutos después de que se haga público el parche. Esta predicción no significa que definitivamente ocurrirá un ataque dentro de este período de tiempo, pero refleja las preocupaciones de la industria de la seguridad sobre la rápida expansión de los riesgos después de que la vulnerabilidad se haga pública.

Mientras tanto, el director de tecnología de Cloudflare, Dane Knecht, dijo que la plataforma ha observado signos tempranos de ataques dirigidos a sitios web que ejecutan PHP. Cloudflare está ajustando temporalmente las reglas del firewall para brindar protección adicional hasta que se publique un parche oficial. Sin embargo, enfatizó que estas medidas sólo pueden usarse como una solución transitoria y no pueden reemplazar las reparaciones formales.

El Centro Australiano de Seguridad Cibernética declaró que no se habían descubierto actividades de explotación confirmadas relacionadas con estas dos vulnerabilidades en ese momento y recomendó que las organizaciones hicieran un inventario de los sistemas que ejecutan PHP internamente lo antes posible, prepararan parches con anticipación y monitorearan continuamente las aplicaciones en busca de anomalías. Las diferentes agencias de seguridad tienen diferentes declaraciones sobre situaciones de ataque, lo que significa que la inteligencia sobre amenazas sigue cambiando rápidamente y los operadores de sitios web no deberían asumir que sus sistemas son seguros sólo porque aún no se han confirmado ataques a gran escala.

Para los propietarios de sitios web comunes, la lección más importante de este incidente es que la seguridad del sitio web no solo depende de si el sistema de administración de contenido y los complementos se mantienen actualizados, sino que también depende de si el entorno operativo subyacente del servidor se mantiene de manera oportuna. Incluso si un sitio web rara vez actualiza su contenido, mientras los servicios se sigan brindando a través de Internet, las vulnerabilidades graves en el software subyacente pueden convertirse en puntos de entrada para los ataques.

PHP planea lanzar oficialmente una versión reparada a las 14:00 UTC del 21 de octubre de 2026, correspondiente a las 22:00 hora de Beijing. El equipo de desarrollo declaró que anunciará más detalles de la vulnerabilidad, las versiones afectadas y la información de la versión reparada en ese momento. Los administradores del sitio web deben confirmar lo antes posible después del lanzamiento de la actualización oficial si el proveedor de servicios o su propio servidor ha completado la reparación, y verificar los registros del sistema y las actividades anormales si es necesario.

Como el parche PHP está a punto de ser lanzado, una gran cantidad de sitios web en todo el mundo entrarán en la etapa de mantenimiento de emergencia. El riesgo de este incidente proviene no sólo de la vulnerabilidad en sí, sino también de la gran cantidad de servidores de versiones antiguas en Internet y la realidad de que es posible que los propietarios de sitios web no puedan completar las actualizaciones a tiempo. Para sistemas críticos que no pueden repararse inmediatamente y están directamente expuestos a Internet, puede ser más seguro restringir temporalmente el acceso o desconectarlos que seguir corriendo el riesgo.

Más información:

https://www.php.net/index.php