Vulnerabilidad crítica en PHP: el 80% de las webs en riesgo
Hoy es uno de esos días que los equipos de IT recuerdan. El ecosistema de seguridad mundial está en alerta máxima por dos vulnerabilidades críticas en PHP, el lenguaje de programación que mueve aproximadamente el 80% de los sitios web del planeta. El FBI ha pedido a todas las organizaciones que actualicen inmediatamente o desconecten sus webs hasta poder hacerlo. Holanda y Finlandia han llegado a apagar temporalmente las webs de sus gobiernos.
Qué es la vulnerabilidad crítica en PHP y por qué es tan grave
PHP es, en pocas palabras, el motor invisible que hace funcionar la mayoría de páginas web que visitas cada día. Cuando tiene un fallo de seguridad, el problema no afecta a una web concreta sino a casi toda Internet a la vez.
En este caso se han descubierto dos fallos, bautizados colectivamente como PHP2Shell, que permiten a un atacante colarse en un servidor web sin necesidad de contraseña y ejecutar lo que quiera dentro de él. Ambos tienen una puntuación de gravedad de 9.2 sobre 10, calificada como crítica por el INCIBE-CERT, el organismo oficial de ciberseguridad en España.
Lo más preocupante: afectan a todas las versiones de PHP desde 2004. Y uno de los fallos permite además leer la memoria del servidor como hacía el histórico Heartbleed (CVE-2014-0160), uno de los mayores escándalos de seguridad de la historia de Internet, pudiendo exponer contraseñas, claves de acceso y datos confidenciales sin que nadie se dé cuenta.
La respuesta global: gobiernos desconectando webs
La reacción ha sido inmediata en todo el mundo. El FBI Cyber Division ha comunicado oficialmente que si una actualización inmediata no es posible, las organizaciones deben desconectar sus sistemas hasta poder resolverlo. La NSA, la CISA americana y el CERT europeo han emitido alertas de máxima urgencia. Finlandia llegó a cerrar temporalmente todos los servicios web públicos de su gobierno.
Qué versiones están parcheadas y qué hacer ahora
Los parches ya están disponibles en php.net. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu web corre sobre versiones antiguas como PHP 7 o anteriores, no habrá parche oficial: la única solución es actualizar a una versión moderna.
Si tienes una web y no sabes qué versión de PHP usa, es el momento de preguntárselo a tu proveedor de hosting o a tu equipo técnico. Cuanto antes se aplique la actualización, mejor.
En Innova Advanced Consulting seguimos de cerca todo lo que ocurre en el mundo TIC para mantenerte informado y ayudarte a tomar las mejores decisiones tecnológicas. Si quieres ser el primero en enterarte de alertas y novedades del sector, suscríbete a nuestra newsletter. 👇