La Fundación PHP admite que un «fallo estructural» retrasó una solución de seguridad crítica

La Fundación PHP ha reconocido que la indecisión y la falta de recursos retrasaron la solución de una vulnerabilidad de seguridad crítica identificada por primera vez en 2024, y calificó la respuesta estancada de «fallo estructural». 

Agencias gubernamentales y otras organizaciones de todo el mundo dejaron sitios web fuera de línea el miércoles como precaución, mientras PHP publicaba parches de emergencia para dos vulnerabilidades críticas relacionadas. Las fallas podrían permitir que atacantes no autenticados ejecutaran código en servidores afectados sin iniciar sesión. 

PHP es un lenguaje de programación ampliamente utilizado para impulsar sitios web y aplicaciones web, incluidos los sistemas de gestión de contenidos. 

En una publicación de blog tras la publicación del parche, la fundación describió cómo sus desarrolladores encontraron por primera vez indicios de la vulnerabilidad en 2024, pero tuvieron dificultades para idear una solución sin interrumpir el amplio ecosistema de software creado con PHP.

«La falta de una vía conocida para ejecutar código de forma remota, combinada con que el pequeño equipo de desarrolladores principales con el profundo conocimiento necesario del motor estaba ocupado con muchas responsabilidades, hizo que este proceso de decisión provocara que el trabajo en una solución se estancara y se reiniciara repetidamente durante meses», afirmó la fundación.

«No vamos a fingir lo contrario: el retraso fue un fallo estructural, causado tanto por el proceso de decisión del equipo de seguridad como por su falta de recursos».

La fundación volvió a recibir información sobre la vulnerabilidad el 11 de agosto, después de que la firma de seguridad Calif y OpenAI informaran de forma independiente sobre el mismo problema subyacente. Calif demostró la ejecución remota de código sin condiciones, lo que convirtió el asunto en una prioridad máxima de seguridad. 

Los sitios web quedan fuera de línea ante la alarma de seguridad de PHP

La interrupción se extendió por todo el mundo mientras los desarrolladores desconectaban sitios web para prepararse para instalar las soluciones de emergencia.

Los Países Bajos cerraron su servicio de identidad digital, y el Centro Nacional de Ciberseguridad del país también dejó su sitio web fuera de línea. 

El proveedor estatal de TI de Finlandia, Valtori, desconectó los servicios web públicos del Gobierno, mientras que el Ministerio del Interior de Francia dejó temporalmente fuera de línea los sitios web de las prefecturas. El proveedor federal de TI de Alemania, ITZBund, también deshabilitó varios sitios web, según Reuters. 

En Australia, la Dirección de Señales de Australia reconoció que su sitio web de ciberseguridad, cyber.gov.au, estaba entre los sitios gubernamentales afectados por el problema de PHP.

La primera ministra japonesa, Sanae Takaichi, publicó en X un mensaje en el que instaba a los operadores de sitios web a prepararse para aplicar el parche lo antes posible. En una publicación, afirmó que suspender temporalmente las funciones del sitio web podría reducir el riesgo si el parche no podía aplicarse de inmediato. 

La Fundación Wikimedia, que opera Wikipedia, dijo que desconectó «offline» algunos servicios de apoyo temporalmente como medida de precaución, incluidos Toolforge y Cloud VPS, que alojan herramientas y proyectos utilizados por desarrolladores voluntarios, lo que provocó que partes de Wikipedia dejaran de estar disponibles el miércoles. 

La empresa de seguridad blockchain SlowMist dijo que su servicio MistEye analizó el uso de PHP en toda la industria cripto, e instó a los exchanges, las plataformas DeFi y los proveedores de billeteras a revisar su exposición y actualizarse. Identificó 793 dominios con huellas digitales directas de PHP entre los 1.488 dominios evaluados.

Intersect, una organización de miembros que apoya el desarrollo y la gobernanza de la blockchain de Cardano, dijo que había desconectado temporalmente su Área de miembros mientras evaluaba una posible exposición. La página seguía fuera de línea en el momento de redactar este artículo. 

Relacionado: Gigantes tecnológicos se apresuran a bloquear 8 certificados de eMudhra que podrían permitir sitios falsos 

Jeff Lunglhofer, director de seguridad de Coinbase, dijo que la empresa no encontró pruebas de ninguna instancia de PHP expuesta. 

«Siempre que nos enteramos de vulnerabilidades como esta, realizamos automáticamente una revisión completa para asegurarnos de que todo sea lo más seguro posible. También trabajamos con nuestros proveedores externos para obtener garantías adicionales».

La empresa de infraestructura de activos digitales BitGo también afirmó que su plataforma no se vio afectada por la vulnerabilidad de PHP. 

Mientras tanto, el cofundador de Binance, Changpeng Zhao, advirtió el miércoles a los usuarios de Internet que tuvieran «mucho cuidado» al visitar cualquier sitio web durante los próximos días, ya que algunos administradores web podrían no estar al día con los parches de seguridad. 

OpenAI ha publicado una skill de Codex para ayudar a los operadores de sitios web a comprobar si hay versiones de PHP potencialmente vulnerables e identificar las actualizaciones aplicables, a la que se puede acceder a través de GitHub. 

El equipo de seguridad de PHP afirmó que no había identificado exploits funcionales en el momento de la divulgación pública. 

Revista: 5 alternativas a Ledger para almacenar tus Bitcoin