El equipo de PHP identificó dos vulnerabilidades de gravedad 9,2 sobre 10 y publicó correcciones este miércoles. La tecnología está presente en el 69,3% de los sitios web, según W3Techs. Organismos de seguridad recomiendan actualizar de inmediato.
El martes 20 de octubre, el equipo de seguridad de PHP comunicó la identificación de dos fallas críticas en el lenguaje de programación. Este miércoles se publicaron las correcciones y se solicitó su instalación inmediata. Las vulnerabilidades recibieron una calificación de gravedad de 9,2 sobre 10.
Qué es PHP
PHP es un lenguaje de programación que se ejecuta en el servidor donde está alojado un sitio web. Cuando un usuario abre una página, el servidor puede utilizar PHP para procesar información y preparar el contenido que envía al navegador. El visitante ve el resultado, pero no el código que lo generó. PHP forma parte del funcionamiento de WordPress y otras plataformas para blogs, medios, comercios y portales institucionales. Según la empresa W3Techs, está presente en el 69,3% de los sitios cuya tecnología de servidor puede identificar.
Qué permiten las fallas
Las fallas habilitan, bajo determinadas condiciones, la ejecución remota de código: un atacante podría enviar una solicitud desde internet a un servidor vulnerable y lograr que ejecute instrucciones sin necesidad de una contraseña. Esto podría dar acceso a archivos, bases de datos o al funcionamiento de una página. La PHP Foundation advirtió que el riesgo alcanza a las instalaciones que reciben solicitudes web y que una de las formas de usar PHP, conocida como mod_php, presenta un caso demostrado en el que el ataque puede activarse antes de que empiece a funcionar el código propio del sitio.
Reacciones y consecuencias
Sitios gubernamentales de países europeos quedaron temporalmente fuera de servicio mientras sus responsables evaluaban el riesgo o aplicaban las actualizaciones. También retiraron algunos sistemas la organización que opera Wikipedia y, por un breve período, Internet Archive. En esos casos, la interrupción fue una medida de protección.
Empresas de tecnología reportaron indicios de ataques tempranos. La PHP Foundation afirmó que, al momento de publicar las correcciones, su equipo no había identificado entre las pruebas que circulaban un método de ataque funcional. La agencia estadounidense CISA indicó que no había observado explotación al momento de emitir su aviso. No hay una cifra verificada de sitios afectados por estas vulnerabilidades.
Versiones corregidas
Se publicaron versiones corregidas para las ramas de PHP que reciben actualizaciones: PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las instalaciones de versiones más antiguas requieren una actualización provista por su distribuidor o proveedor de alojamiento, si existe, o una migración a una versión compatible.
Descubrimiento y papel de la inteligencia artificial
La PHP Foundation reconoció que durante una auditoría de seguridad de 2024 aparecieron las primeras señales de una de las vulnerabilidades. En ese momento no se había encontrado una forma concreta de aprovecharla. La organización admitió que el trabajo para resolverlo se demoró por dificultades técnicas, decisiones internas y falta de recursos, y calificó esa demora como una falla estructural. En agosto de este año, investigadores de seguridad presentaron pruebas que permitieron comprender el alcance del problema. Equipos de Calif, OpenAI y Wiz utilizaron herramientas de inteligencia artificial durante sus investigaciones y coordinaron sus hallazgos con los responsables de PHP. La IA ayudó a encontrar y comprobar formas de explotar las fallas; las correcciones fueron desarrolladas y publicadas por el proyecto PHP.
Qué deben hacer los administradores
Quien administra un sitio debe averiguar qué versión de PHP utiliza y quién se ocupa de actualizarla. Si contrata un servicio de alojamiento, corresponde consultar al proveedor si ya instaló la corrección. Si gestiona su propio servidor, debe aplicar la versión corregida o el paquete de seguridad correspondiente a su distribución. El equipo de PHP advierte que las medidas temporales pueden reducir algunas vías de ataque, pero que la actualización es la única solución completa. Cuando una organización no puede actualizar de inmediato, las agencias de seguridad han recomendado considerar la retirada temporal de los sistemas afectados. Después de instalar el parche, los responsables también deberán revisar sus sistemas para determinar si hubo actividad sospechosa durante el período de exposición. Para los usuarios finales no hay un parche de PHP que instalar en el celular o la computadora: PHP funciona en el servidor del sitio.