Resumen:
La operación global de reparación de emergencia para vulnerabilidades críticas de PHP ha entrado en su segundo día y la situación continúa siendo tensa. Los investigadores advierten que antes y después de que se revelara públicamente la vulnerabilidad, los intentos de ataque de piratas informáticos han pasado de miles a millones, y no se puede descartar la posibilidad de que algunos sistemas hayan sido comprometidos. El jueves, el Reino Unido confirmó que más de 30 servicios gubernamentales permanecían fuera de línea a la espera del despliegue de actualizaciones de seguridad. El operador de telecomunicaciones Orange también anunció el jueves que suspendería el acceso a algunos sitios web y aplicaciones.
El día anterior, decenas de países y regiones, incluidos Austria, Países Bajos, Finlandia y Francia, adoptaron sucesivamente medidas similares, y muchos bancos y aerolíneas japoneses también interrumpieron algunos servicios en línea.
Matthew Prince, director ejecutivo de la empresa de ciberseguridad Cloudflare, reveló que su sistema había identificado miles de intentos de explotar la vulnerabilidad 10 horas antes de que se revelara públicamente; dos horas después del anuncio, el número de ataques se disparó a cientos de miles y luego aumentó a millones. No está claro cuántos intentos de intrusión resultaron en intentos exitosos de robar datos o comprometer sistemas.
Palo Alto Networks afirmó que ha identificado más de 22,6 millones de "instancias expuestas" que contienen la vulnerabilidad y que la escala es "extremadamente grande".
El jueves, la Plataforma de intercambio de información sobre amenazas y vulnerabilidades de ciberseguridad del Ministerio de Industria y Tecnología de la Información emitió un recordatorio de emergencia de que PHP tiene dos vulnerabilidades de ejecución remota de código extremadamente críticas. Los atacantes pueden invadir directamente el sistema de destino sin ninguna autenticación. Se recomienda a las unidades y usuarios relevantes que investiguen y actualicen inmediatamente a la última versión de seguridad.
La vulnerabilidad fue atacada antes de que se hiciera pública
Según los investigadores de Amazon, los piratas informáticos intentaban explotar la vulnerabilidad antes de que se hiciera pública. Threat Intelligence de Amazon dijo en su informe publicado el miércoles que un "actor de amenazas" no identificado había obtenido de alguna manera información sobre la vulnerabilidad antes de que los detalles se hicieran públicos y lanzara un ataque a la red de sensores de Amazon utilizada para rastrear la actividad cibercriminal. Desde entonces, la empresa ha detectado muchos otros intentos de explotación.
Matt Hull, vicepresidente de ciberinteligencia y respuesta de NCC Group, dijo que el período de ventana entre el conocimiento de la vulnerabilidad y la implementación del parche es crítico, lo que requiere que las organizaciones afectadas actúen rápidamente. "Existe una posibilidad real de que un sistema vulnerable haya sido comprometido, incluida una puerta trasera", dijo. "No se puede subestimar el impacto potencial."
Actualmente, la Oficina del Director Cibernético Nacional de Estados Unidos está coordinando al FBI, la Agencia de Seguridad de Infraestructura y Ciberseguridad, la Agencia de Seguridad Nacional y otras agencias para responder conjuntamente a este incidente.
El alcance de influencia cubre el 70% de Internet global
PHP es una de las tecnologías más implementadas en Internet, respalda el funcionamiento de millones de sitios web y gestiona hasta el 70 % de la infraestructura de Internet del mundo.
Los principales sistemas de gestión de contenidos, como WordPress, Drupal, Joomla y Magento, utilizan PHP como soporte subyacente. La empresa de seguridad de redes Huntress señaló que PHP también está ampliamente "oculto" en varios programas, incluso si el software correspondiente no declara el uso de PHP.
Una vez que se explota dicha vulnerabilidad básica, puede tener un efecto en cadena en la cadena de suministro de software de Internet, exponiendo los servicios en línea a riesgos como el robo de datos, la implantación de malware y la fuga del sistema.
Desconectar temporalmente un sitio web es un método defensivo común para evitar que los atacantes aprovechen las vulnerabilidades durante la implementación del parche. El equipo de desarrollo de PHP lanzó la actualización del software el miércoles e instó a los usuarios a adoptarla de inmediato.
Las herramientas de inteligencia artificial ayudan a descubrir y reparar vulnerabilidades
La vulnerabilidad fue descubierta por Wiz, una empresa de ciberseguridad propiedad de Alphabet, con la ayuda de múltiples herramientas de inteligencia artificial.
Wiz dijo en el informe que colaboró con OpenAI y la empresa de ciberseguridad Calif para completar el trabajo de investigación, y estimó que la vulnerabilidad había existido desapercibida durante más de diez años.
"Con modelos de IA de vanguardia y las herramientas adecuadas, un investigador puede lograr en una semana lo que antes le llevaba meses a un equipo de clase mundial", escribió Wiz en el informe.
La compañía afirmó que las herramientas de inteligencia artificial no solo ayudaron a identificar rápidamente vulnerabilidades, sino que también aceleraron la formación de planes de reparación, desempeñando un papel clave en esta respuesta de emergencia.
Comentarios