PHP lanzó parches de emergencia para dos fallas críticas que amenazan a millones de sitios web

El equipo de seguridad de PHP, el lenguaje de programación que funciona detrás de la mayoría de los sitios de internet, anunció un parche de emergencia para dos fallas críticas que podrían permitir a un atacante tomar el control de un servidor sin necesidad de ninguna contraseña.

El aviso oficial, publicado el martes en el sitio php.net, calificó ambas vulnerabilidades con una puntuación de 9,2 sobre 10 en la escala CVSS, el sistema que la industria usa para medir la gravedad de una falla de seguridad. La actualización estaba prevista para las 14:00 UTC de este miércoles.

PHP es el motor detrás de WordPress, Drupal, Joomla y Magento, además de paneles de control de alojamiento y software que ni siquiera anuncia que lo usa por dentro. Según la consultora W3Techs, el lenguaje sostiene cerca del 70% de los sitios web cuyo programa de servidor se puede identificar.

Las dos fallas permitirían ejecutar código de forma remota: que un atacante logre que el servidor corra las órdenes que él mismo escriba, sin haber iniciado sesión, según coincidieron varios investigadores. PHP no detalló qué parte del lenguaje está afectada ni qué configuración activa el problema, y dijo que esa información llegaría recién con el parche.

El organismo de ciberseguridad de la Unión Europea, CERT-EU, recomendó a las organizaciones que no puedan aplicar la actualización de inmediato que consideren desconectar sus sitios de internet hasta tener el parche instalado. El Centro Nacional de Ciberseguridad del Reino Unido y la agencia equivalente de Australia emitieron alertas similares.

Una filtración apuró el calendario

El anuncio llegó antes de lo previsto porque la información se filtró. La empresa de investigación watchTowr confirmó en la red social X que los detalles de las fallas, pensados para revelarse recién el jueves bajo un acuerdo de divulgación coordinada con otros investigadores, se conocieron un día antes por una publicación anónima.

watchTowr dijo que las vulnerabilidades son reales y que logró reproducir una de ellas en un entorno de prueba, aunque decidió no difundir los detalles técnicos hasta que el parche esté disponible. La empresa de seguridad Huntress, por su parte, afirmó que hasta el martes no había detectado que las fallas estuvieran siendo explotadas en los sistemas de sus clientes.

Esa calma no duró. El director de tecnología de Cloudflare, Dane Knecht, escribió en X que la compañía ya veía “ataques tempranos” contra sus clientes y que había desplegado reglas de protección automática como medida provisoria. “Esto es solo un parche temporal. Actualicen apenas PHP libere la solución”, escribió.

Los sitios más viejos quedarán sin arreglo

El parche solo llegará a las versiones que PHP todavía mantiene activas, de la 8.2 a la 8.5. Las versiones 5, 7 y las primeras ramas de la serie 8 no reciben soporte de seguridad desde hace tiempo: sus usuarios no tendrán solución oficial y deberán migrar a una versión reciente o aislar esos servidores de internet.

La firma de seguridad Mallory calculó, a partir de un relevamiento del buscador Shodan, que unos 884.000 servidores expuestos a internet corren versiones de PHP que no recibirán el parche. Según un informe de la empresa Censys citado por Cybernews, solo el 14% de los sitios públicos de WordPress tiene instalada la última actualización disponible.

Esa combinación, advirtieron varios especialistas consultados por medios especializados, deja una ventana amplia para que los atacantes apunten a servidores desactualizados una vez publicado el parche: comparar el código antes y después de una actualización suele ser, para quien busca explotar una falla, la forma más rápida de entender cómo funciona.

Empresas de alojamiento como GoDaddy y servicios de protección para WordPress como Wordfence publicaron guías para que los administradores de sitios identifiquen qué versión de PHP usan y se preparen para instalar la actualización apenas esté disponible. Ninguna ofreció, por ahora, una solución alternativa que reemplace al parche oficial.

PHP confirmó que junto con el lanzamiento, programado para hoy, dará a conocer qué partes del lenguaje estaban afectadas, qué versiones exactas corrían riesgo y los números de las versiones corregidas, información que hasta el cierre de esta nota seguía sin confirmarse de forma oficial.