La Fundación PHP ha reconocido que problemas en la toma de decisiones y recursos limitados retrasaron una solución de seguridad para PHP destinada a corregir una falla detectada por primera vez en 2024. Cuando el miércoles se publicaron parches de emergencia para dos vulnerabilidades críticas relacionadas, organismos gubernamentales y otras organizaciones desconectaron sitios web como medida de precaución.
Conclusiones clave
- La fundación calificó la respuesta tardía como un fallo estructural relacionado con su proceso de seguridad y sus recursos.
- Las vulnerabilidades podrían permitir que atacantes no autenticados ejecuten código en los servidores afectados.
- Organizaciones del sector cripto evaluaron su exposición, mientras que Coinbase y BitGo informaron que no tenían sistemas afectados.
Tabla de contenidos
- La solución de seguridad de PHP se estancó por problemas de compatibilidad y falta de personal
- Los cierres preventivos se extendieron a los servicios públicos
- Las empresas cripto evalúan una posible exposición
- El estado de los exploits no elimina el riesgo demostrado
- Conclusión
La solución de seguridad de PHP se estancó por problemas de compatibilidad y falta de personal
El relato de la fundación pone el foco en cómo un problema técnico conocido permaneció sin resolver durante meses. Los desarrolladores identificaron indicios de la vulnerabilidad en 2024, pero tuvieron dificultades para encontrar una solución que no perturbara el amplio ecosistema de software basado en PHP, un lenguaje muy utilizado en sitios web y aplicaciones web.
En esa etapa, los desarrolladores aún no habían determinado una vía para lograr la ejecución remota de código. El pequeño grupo con los conocimientos necesarios del motor de PHP también tenía otras responsabilidades, por lo que el trabajo en una solución se detuvo y reanudó repetidamente, según indicó la fundación.
La fundación describió el retraso como un «fallo estructural» provocado tanto por el proceso de toma de decisiones del equipo de seguridad como por la insuficiencia de recursos.
El problema pasó a ser una prioridad máxima de seguridad después de que la empresa de seguridad Calif y OpenAI informaran de forma independiente sobre el mismo problema subyacente el 11 de agosto. Calif demostró que era posible ejecutar código de forma remota sin condiciones.
Los cierres preventivos se extendieron a los servicios públicos
Los lanzamientos de emergencia provocaron interrupciones en varios países, ya que los operadores desconectaron servicios mientras preparaban las actualizaciones. Los Países Bajos cerraron su servicio de identidad digital, y su Centro Nacional de Ciberseguridad también desconectó su propio sitio web.
El proveedor estatal finlandés de TI, Valtori, desconectó los servicios web públicos del Gobierno, mientras que el Ministerio del Interior francés retiró temporalmente de servicio los sitios web de las prefecturas. ITZBund, el proveedor federal alemán de TI, también deshabilitó varios sitios web.
La Dirección de Señales de Australia indicó que cyber.gov.au estaba entre los sitios web gubernamentales afectados por el problema de PHP. La primera ministra japonesa, Sanae Takaichi, instó a los operadores a prepararse para instalar rápidamente los parches y señaló que suspender temporalmente las funciones de los sitios web podría reducir el riesgo cuando no fuera posible aplicar actualizaciones de inmediato.
La Fundación Wikimedia también desconectó servicios de soporte, incluidos Toolforge y Cloud VPS, lo que afectó algunas funciones de Wikipedia el miércoles.
Las empresas cripto evalúan una posible exposición
La empresa de seguridad blockchain SlowMist indicó que su servicio MistEye detectó huellas digitales directas de PHP en 793 de los 1.488 dominios del sector cripto evaluados. Instó a los exchanges, las plataformas DeFi y los proveedores de monederos a revisar su exposición y actualizar sus sistemas. Los hallazgos identificaron el uso de PHP, pero no confirmaron que esos dominios fueran vulnerables.
Intersect, la organización de miembros que apoya el desarrollo y la gobernanza de Cardano, cerró temporalmente su Área de Miembros mientras evaluaba una posible exposición.
Jeff Lunglhofer, director de seguridad de Coinbase, dijo que la empresa no había encontrado indicios de instancias de PHP expuestas y que también estaba realizando comprobaciones con proveedores externos. Por separado, BitGo afirmó que su plataforma no se había visto afectada.
El estado de los exploits no elimina el riesgo demostrado
Pese al riesgo demostrado de ejecución remota de código, el equipo de seguridad de PHP dijo que, en el momento de la divulgación pública, no había identificado ningún exploit funcional.
OpenAI publicó en GitHub una herramienta Codex para ayudar a los operadores a comprobar si usan versiones de PHP potencialmente vulnerables e identificar las actualizaciones pertinentes.
Conclusión
Los parches de emergencia corrigen las vulnerabilidades inmediatas, mientras que el reconocimiento de la fundación pone de relieve los fallos del proceso que retrasó su publicación. Los cierres comunicados fueron medidas preventivas, no pruebas de que las organizaciones afectadas hubieran sufrido una vulneración.
Leer más noticias
Aviso legal
Este artículo de FinanceVelix ofrece información general, no asesoramiento financiero, de inversión, jurídico ni fiscal personalizado. Los precios de mercado, los tipos de interés y las condiciones económicas pueden cambiar; las inversiones conllevan riesgo de pérdida. Los hechos reflejan la información disponible en el momento de la publicación y pueden cambiar. Verifique de forma independiente la información importante y consulte a un profesional cualificado cuando sea necesario. La mención de un activo, una empresa o un servicio no constituye una recomendación.
