EE. UU.: la CISA confirma ataques que aprovechan dos fallos críticos de PHP
La agencia estadounidense CISA confirma que piratas explotan dos fallos críticos de PHP y da tres días a las agencias federales civiles para corregirlos.
Imagen ilustrativa
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) confirmó el lunes que piratas informáticos aprovechan de forma activa dos fallos críticos de PHP, el lenguaje de programación web en el que se apoya buena parte de internet. La agencia ordenó a las agencias federales civiles corregir sus sistemas en un plazo de tres días.
Las dos vulnerabilidades, conocidas como PHP2Shell, permiten entrar a distancia en un sistema expuesto a través de internet sin necesidad de contraseña. PHP funcionaría en cerca del 70 % de los servidores accesibles desde la red, lo que pone en riesgo a grandes sitios web y aplicaciones.
La alerta llega menos de una semana después de que los responsables de PHP publicaran los parches para ambos fallos. Su gravedad llevó a algunos gobiernos y grandes empresas a desconectar temporalmente sus sitios para aplicarlos.
En su comunicado, la CISA no precisó quién está detrás de los ataques.
El aviso se produjo poco después de que investigadores en seguridad afirmaran haber encontrado indicios de explotación de estos fallos. Según esos especialistas, desarrollar un ataque eficaz resultó al principio complicado, aunque no imposible.
Los fallos se detectaron hace dos años, pero la fundación sin ánimo de lucro que mantiene PHP consideró entonces que no existía una forma práctica de aprovecharlos y no los corrigió. Este año, investigadores de la firma de seguridad Calif hallaron cómo explotarlos con la ayuda de un modelo de inteligencia artificial.
PHP figura entre las tecnologías web veteranas que llevan años con escasos recursos y financiación, lo que dificulta a proyectos de código abierto como este pagar auditorías de seguridad capaces de detectar los fallos antes.
