La Fundación PHP ha reconocido que problemas en la toma de decisiones y recursos limitados retrasaron una solución de seguridad PHP por un fallo detectado por primera vez en 2024. A medida que se publicaron el miércoles parches de emergencia para dos vulnerabilidades críticas relacionadas, agencias gubernamentales y otras organizaciones retiraron los sitios web como medida de precaución.

Puntos clave

  • La fundación calificó la respuesta tardía como un fallo estructural que afecta a su proceso de seguridad y recursos.
  • Las vulnerabilidades podrían permitir que atacantes no autenticados ejecuten código en los servidores afectados.
  • Las organizaciones cripto revisaron su exposición, mientras que Coinbase y BitGo no informaron de sistemas afectados.

Índice

La solución de seguridad de PHP se estancó en compatibilidad y personal

El relato de la fundación pone el foco en cómo una preocupación técnica conocida permaneció sin resolver durante meses. Los desarrolladores identificaron signos de la vulnerabilidad en 2024, pero tuvieron dificultades para encontrar una solución que no interrumpiera el extenso ecosistema de software construido sobre PHP, un lenguaje ampliamente utilizado para sitios web y aplicaciones web.

En ese momento, los desarrolladores aún no habían establecido un camino para la ejecución remota de código. El pequeño grupo con el conocimiento necesario del motor PHP también tenía responsabilidades en competencia, lo que provocaba que el trabajo en una solución se detuviera y reiniciara repetidamente, según la fundación.

Describió el retraso como un "fallo estructural" causado tanto por el proceso de decisión del equipo de seguridad como por la falta de recursos suficientes.

El problema se convirtió en una prioridad de máxima seguridad después de que la firma de seguridad Calif y OpenAI informaran de forma independiente del mismo problema subyacente el 11 de agosto. Calif demostró la ejecución remota incondicional de código.

Los cierres preventivos se extendieron a los servicios públicos

Las publicaciones de emergencia provocaron interrupciones en varios países, ya que los operadores desconectaron los servicios mientras preparaban actualizaciones. Los Países Bajos cerraron su servicio de identidad digital y su Centro Nacional de Ciberseguridad desconectó su propia página web.

El proveedor estatal de TI de Finlandia, Valtori, desconectó los servicios web públicos del gobierno, mientras que el Ministerio del Interior de Francia retiró temporalmente los sitios web de las prefecturas. El proveedor federal de TI alemán ITZBund también desactivó varios sitios web.

La Dirección de Señales de Australia dijo que cyber.gov.au estaba entre los sitios web gubernamentales afectados por el problema del PHP. La primera ministra japonesa Sanae Takaichi instó a los operadores a prepararse para hacer parches rápidamente y dijo que suspender temporalmente las funciones del sitio web podría reducir el riesgo cuando no fuera posible hacer actualizaciones inmediatas.

La Fundación Wikimedia también retiró servicios de apoyo, incluyendo Toolforge y Cloud VPS, afectando algunas funciones de Wikipedia el miércoles.

Las empresas cripto evalúan la posible exposición

La empresa de seguridad blockchain SlowMist dijo que su servicio MistEye encontró huellas directas de PHP en 793 de los 1.488 dominios de la industria cripto evaluados. Instó a los exchanges, plataformas DeFi y proveedores de monederos a revisar su exposición y actualizar. Los hallazgos identificaron el uso de PHP, en lugar de confirmar que esos dominios eran vulnerables.

Intersect, la organización de miembros que apoya el desarrollo y la gobernanza de Cardano, cerró temporalmente su Área de Miembros mientras evaluaba la posible exposición.

Jeff Lunglhofer, director de seguridad de Coinbase, dijo que la compañía no encontró evidencia de instancias PHP expuestas y que también estaba consultando con proveedores externos. BitGo, por separado, afirmó que su plataforma no se vio afectada.

El estado de explotación sigue siendo distinto del riesgo demostrado

A pesar del riesgo demostrado de ejecución remota de código, el equipo de seguridad de PHP afirmó que no había identificado ningún exploit funcional en el momento de la divulgación pública.

OpenAI publicó una habilidad Codex a través de GitHub para ayudar a los operadores a comprobar versiones PHP potencialmente vulnerables e identificar actualizaciones aplicables.

Conclusión

Los parches de emergencia abordan las vulnerabilidades inmediatas, mientras que la admisión de la fundación pone de relieve fallos en el proceso que los retrasaron. Los cierres reportados fueron medidas de precaución, no evidencia de que las organizaciones afectadas hubieran sido comprometidas.

Leer más noticias

Más noticias FinanceVelix

Aviso legal

Este FinanceVelix artículo ofrece información general, no asesoramiento financiero, de inversión, legal o fiscal personalizado. Los precios de mercado, los tipos de interés y las condiciones económicas pueden cambiar; las inversiones conllevan un riesgo de pérdida. Los hechos reflejan el material disponible en el momento de la publicación y pueden cambiar. Consulta la información importante de forma independiente y consulta a un profesional cualificado cuando sea necesario. Mencionar un activo, empresa o servicio no constituye un endoso.