La Fundación PHP reconoció una 'falla estructural': la solución para una vulnerabilidad crítica notada por primera vez en 2024 se retrasó debido a la indecisión y la falta de recursos. Dos vulnerabilidades críticas relacionadas permitieron a atacantes no autenticados ejecutar código en servidores afectados; se lanzaron parches de emergencia el miércoles.
"No pretendemos lo contrario: el retraso fue una falla estructural causada tanto por el proceso de toma de decisiones del equipo de seguridad como por la falta de recursos", afirma el blog de la fundación. Los desarrolladores no pudieron proponer rápidamente una solución sin interrumpir el vasto ecosistema de software PHP; el pequeño equipo con profundo conocimiento del motor estaba falto de personal, y no había un camino conocido para la ejecución remota de código.
La fundación fue alertada de la vulnerabilidad nuevamente el 11 de agosto: Calif y OpenAI informaron independientemente del mismo problema, con Calif demostrando la ejecución remota de código incondicional. Esto hizo que el problema fuera una prioridad.
El miércoles, sitios web y servicios gubernamentales en todo el mundo se desconectaron durante las instalaciones de parches. Los Países Bajos desactivaron su servicio de identificación digital y el sitio del centro nacional de ciberseguridad, Valtori de Finlandia desconectó los servicios web gubernamentales públicos, el Ministerio del Interior de Francia desactivó los sitios de las prefecturas, y el ITZBund de Alemania desconectó varios sitios, según Reuters. La Dirección de Señales de Australia (ASD) confirmó que su sitio cibernético gov au se vio afectado. El Primer Ministro de Japón, Sanae Takaichi, instó a los operadores a instalar el parche lo antes posible y señaló que deshabilitar temporalmente las funciones reduce el riesgo.
La Fundación Wikimedia desactivó temporalmente Toolforge y Cloud VPS, alojamiento para herramientas y proyectos de voluntarios, causando una disponibilidad parcial de Wikipedia el miércoles. La organización Cardano Intersect desactivó el Área de Miembros mientras evaluaba los riesgos.
La empresa de seguridad blockchain SlowMist examinó 1,488 dominios y encontró 793 con rastros directos de PHP; instó a los intercambios, plataformas DeFi y proveedores de billeteras a verificar su exposición y actualizar.
El Director de Seguridad de Coinbase, Jeff Lunglhofer, declaró que no se encontraron instancias vulnerables de PHP en la empresa y agregó que, ante tales informes, la empresa realiza un examen completo y trabaja con proveedores externos. BitGo también informó que la plataforma no se vio afectada. El cofundador de Binance, Changpeng Zhao, instó a tener 'extrema precaución' al visitar sitios en los próximos días. OpenAI lanzó una herramienta en GitHub, Codex, para ayudar a los operadores a verificar versiones vulnerables de PHP.
El equipo de seguridad de PHP informó que no se identificaron exploits funcionales en el momento de la divulgación pública.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
