El equipo de emergencia cibernética de Europa ha dicho a los sitios web que no puedan aplicar parches a dos vulnerabilidades críticas de PHP que consideren desconectarse. Ambos fallos pueden permitir que atacantes tomen el control de servidores web sin necesidad de iniciar sesión.
PHP está presente en gran parte de la web, desde blogs de WordPress hasta tiendas en línea de Magento. Sin embargo, los detalles de ambas vulnerabilidades se filtraron en línea antes de que estuvieran listas las soluciones.
Los atacantes tuvieron ventaja
La filtración apareció el 20 de octubre, antes de la divulgación planificada, según Huntress. El equipo de seguridad de la Fundación PHP entonces programó la publicación para el 21 de octubre a las 14:00 UTC.
La empresa de seguridad watchTowr ha vuelto a reproducir uno de los dos fallos, según Huntress. Huntress también dijo que no había visto explotación en los sistemas de sus clientes.
En cambio, el director de tecnología de Cloudflare, Dane Knecht, afirmó que ya han comenzado los ataques. Su empresa ha implementado reglas de firewall contra las rutas de ataque conocidas para todos sus clientes, incluso los usuarios gratuitos.
“Estamos viendo ataques tempranos y estamos actualizando las medidas de mitigación cuando aparecen nuevos vectores. Esto es solo una solución temporal”, expuso Knecht.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) y la agencia cibernética de Australia advirtieron que las vulnerabilidades de PHP pueden afectar todas las versiones desde PHP 5 en adelante, informó Reuters.
Algunos investigadores esperan soluciones solo para las versiones soportadas de PHP 8, señaló Huntress. Esto podría dejar a los sitios que usan versiones antiguas y no soportadas sin parche.
La alerta llega después de que más de 100 empresas advirtieran sobre el aumento de ciberataques con IA en los próximos meses.
¿Qué significan las vulnerabilidades de PHP para los dueños de sitios web?
PHP se usa en aproximadamente el 69% de los sitios web cuyo lenguaje de servidor es conocido, según los datos de W3Techs. WordPress por sí solo impulsa cerca del 40% de todos los sitios web.
CERT-EU dijo que la puntuación de gravedad 9.2 indica ejecución remota de código sin necesidad de autenticación. Es decir, alguien externo podría ejecutar código malicioso en un servidor sin requerir credenciales.
La empresa de alojamiento web GoDaddy advirtió que los atacantes pueden robar datos, desfigurar sitios web o tomar control total del sistema. Los registros robados tienen valor real, como lo demostraron las brechas en bancos de Corea del Sur.
El plugin de seguridad Wordfence señaló que cada sitio WordPress está sobre un servidor con PHP. Sin embargo, las actualizaciones automáticas de WordPress no corrigen las vulnerabilidades de PHP. Por ello, los dueños de los sitios necesitan averiguar quién gestiona PHP en sus servidores.
Los ataques a infraestructuras cotidianas siguen extendiéndose, como mostró el hack a refrigeradores de supermercados franceses en octubre. Estas vulnerabilidades de PHP trasladan esa presión a la capa de software que hay bajo gran parte de la web, donde una actualización saltada en el servidor puede abrir la puerta a un ataque.
El post ¿Por qué la Unión Europea insta al cierre de algunos sitios web? fue visto por primera vez en BeInCrypto.