Dos fallas críticas en PHP, el lenguaje que ayuda a correr cerca del 70 % de los sitios web del mundo según Wiz Research, llevaron a gobiernos de Europa y Asia a bajar portales y servicios en línea. Las vulnerabilidades se anunciaron el miércoles 21 de octubre y ya tienen parches: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Ambas fallas tienen un puntaje de 9,2 sobre 10 en la escala CVSS v4.0. Según CERT-EU, el equipo de respuesta a incidentes de las instituciones de la Unión Europea, permiten la ejecución remota de código sin autenticación.
Una de las fallas es una corrupción de memoria que ocurre al manejar la falta de memoria. La otra reutiliza el estado de una solicitud fallida en una solicitud posterior dentro del mismo proceso. El mayor riesgo está en servidores Apache con mod_php, aunque también están expuestos PHP-FPM, php-cgi, FrankenPHP y LiteSpeed.
Qué versión instalar para corregir las fallas críticas en PHP
| Versión de PHP | Estado |
|---|---|
| 8.5 | Corregida en PHP 8.5.12 |
| 8.4 | Corregida en PHP 8.4.27 |
| 8.3 | Corregida en PHP 8.3.36 |
| 8.2 | Corregida en PHP 8.2.35 |
| 7.4, 8.0 y 8.1 | Sin actualización oficial; PHP publicó copias del arreglo |
| 5.4 a 7.3 | Sin soporte ni arreglo |
Wordfence advierte que las actualizaciones automáticas estándar no entregarán este arreglo. También explica que actualizar un gestor de contenidos o un plugin no cierra las fallas, porque están en el lenguaje y no en esos programas.
En la práctica, la vulnerabilidad PHP es un problema de ciberseguridad para los sitios web que usan el lenguaje: las fallas críticas PHP permiten la ejecución remota de código y la corrección oficial es el parche PHP publicado para cada versión con soporte.
Millones de intentos de ataque
Según el investigador Silas Cutler, hay más de 1,3 millones de equipos expuestos; una búsqueda en Shodan eleva la cifra a más de 1,9 millones.
Matthew Prince, CEO de Cloudflare, informó miles de intentos de ataque en las 10 horas previas al anuncio, decenas de miles en los primeros 45 minutos, cientos de miles en dos horas y millones después. Según Prince, el firewall de Cloudflare protege a sus clientes desde el miércoles, aunque es una medida temporal.
Amazon Threat Intelligence registró un intento de explotación el 17 de octubre, cuatro días antes del anuncio.
Gobiernos bajan sitios web
Países Bajos bajó su portal de gobierno, un sitio de datos personales y el acceso a DigiD, su sistema de identidad digital. Finlandia detuvo servicios públicos en línea, Francia pausó sitios de gobiernos locales y Canadá anunció una detención temporal.
En Japón estuvo caído el sitio del primer ministro, se retiraron partes del Ministerio de Finanzas y del sistema tributario e-Tax, y el banco MUFG suspendió algunos servicios. La primera ministra Sanae Takaichi dijo que suspender sitios de forma temporal puede reducir el riesgo cuando es difícil aplicar el parche.
El NCSC del Reino Unido pidió «acción inmediata», la NSA de Estados Unidos pidió «mantener alerta elevada» y China pidió revisar brechas.
Quién descubrió las fallas
Las versiones difieren. Según NPR, Wiz Research encontró las fallas usando tecnología de OpenAI. Según BigGo Finance, Calif, junto con OpenAI y su modelo GPT-5.6 Sol, las reportó a PHP el 11 de agosto, mientras que Wiz, propiedad de Alphabet, las halló por separado y las reportó el 24 de agosto, también con modelos de IA.
OpenAI las calificó como «una de las vulnerabilidades más impactantes de la memoria reciente», según NPR.
Lee también:
- Ciberataque altera los refrigeradores de cientos de supermercados en Francia
- Anthropic deja sus pruebas sin internet tras acciones de Claude en sitios web reales
- Nvidia lanza una plataforma para controlar a los agentes de IA
Fuente: NPR, BigGo Finance y FTI News Bytes
