La agencia de ciberseguridad estadounidense CISA ha confirmado que los hackers están explotando activamente dos vulnerabilidades de seguridad graves en un software web PHP ampliamente utilizado y ha ordenado a las agencias federales civiles dentro del gobierno estadounidense que reparen sus sistemas en los próximos tres días.
Menos de una semana antes de este aviso de parche de emergencia, los mantenedores del lenguaje de programación web PHP lanzaron parches para corregir estas dos vulnerabilidades. Estas vulnerabilidades permiten a los hackers infiltrarse remotamente en sistemas vulnerables a través de Internet sin necesidad de contraseña. Se informa que el software PHP se utiliza en aproximadamente el 70 % de los servidores web, exponiendo una gran cantidad de sitios web y aplicaciones a riesgos. La gravedad de estas vulnerabilidades ha llevado a algunos gobiernos y grandes empresas a desconectar sus sitios web para realizar las reparaciones.
Aunque estas vulnerabilidades se clasifican como "graves", lo que significa que podrían causar daños significativos si se explotan, los investigadores de seguridad indican que inicialmente era difícil desarrollar ataques funcionales, aunque no imposible. La confirmación actual de ataques reales ha aumentado la presión sobre diversas instituciones para que reparen sus sistemas rápidamente y eviten intrusiones maliciosas, interrupciones de servicios y filtraciones de datos.
CISA no proporcionó detalles sobre quién estaba aprovechando estas vulnerabilidades en su declaración del lunes, pero poco antes de la publicación de su declaración, investigadores de seguridad habían indicado que habían encontrado evidencia de que se estaban explotando vulnerabilidades en PHP.
Estas explotaciones, conocidas como PHP2Shell, aprovechan defectos en el software que no se habían descubierto durante años. Se descubrieron originalmente hace dos años, pero la fundación sin fines de lucro encargada de mantener el software indicó en ese momento que los hackers no tenían un método práctico para explotarlas, por lo que no se repararon. Hasta principios de este año, investigadores de la empresa de seguridad Califf encontraron, con la ayuda de un modelo de IA, formas de explotar estas dos vulnerabilidades de larga duración.
Estas dos vulnerabilidades en PHP son solo una parte de las innumerables vulnerabilidades aún no descubiertas o que han estado sin prioridad durante años; con la mejora en la capacidad de los modelos de IA para descubrir y explotar vulnerabilidades, incluyendo mediante la concatenación de múltiples defectos, estas vulnerabilidades ahora también representan un riesgo.
PHP es una de las muchas tecnologías web antiguas que sustentan el funcionamiento de Internet y la tecnología moderna, pero que durante años han sufrido escasez de recursos y financiamiento, lo que hace que proyectos de código abierto como PHP tengan dificultades para costear revisiones de seguridad que podrían haber detectado vulnerabilidades con anterioridad.