📢 Noticias
Respuesta al fallo de PHP: los operadores de sitios web deben actualizar inmediatamente sus versiones; los usuarios comunes deben reforzar la seguridad de sus cuentas y protegerse contra ataques de phishing.
El 22 de octubre, el equipo oficial de PHP publicó un aviso de seguridad revelando la solución para la vulnerabilidad «php2shell»: los usuarios que empleen las ramas PHP 8.5, 8.4, 8.3 o 8.2 deben actualizar inmediatamente a las versiones parcheadas correspondientes —es decir, PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35—; quienes utilicen versiones de PHP distribuidas por sus respectivas distribuciones Linux deberán instalar los parches específicos publicados por dichas distribuciones. Las versiones PHP 8.1 y anteriores ya han salido del ciclo oficial de soporte; los usuarios afectados deben migrar forzosamente a una rama actualmente mantenida, o bien contactar directamente a su proveedor de distribución y/o a su proveedor de soporte a largo plazo (LTS) para verificar si existen parches personalizados disponibles para esas versiones obsoletas.
Para usuarios particulares, se recomienda seguir las pautas generales publicadas por la Agencia de Ciberseguridad e Infraestructura de Seguridad de Estados Unidos (CISA): en primer lugar, activar la autenticación de dos factores (2FA) en cuentas de alto riesgo como correo electrónico o cuentas bancarias; en segundo lugar, asignar contraseñas únicas y robustas a cada cuenta en línea, evitando absolutamente su reutilización entre distintas plataformas; y, en tercer lugar, mantener una extrema cautela ante correos electrónicos que simulen ser «alertas urgentes de restablecimiento de contraseña»: toda modificación de credenciales debe realizarse únicamente accediendo manualmente al sitio web oficial o a la aplicación oficial correspondiente —nunca haciendo clic en enlaces incluidos en dichos correos. Aunque estas medidas reducen significativamente los riesgos de suplantación de identidad y ataques de phishing, no corrigen la vulnerabilidad subyacente en el entorno PHP del servidor.
Cloudflare subraya que esta vulnerabilidad radica directamente en el intérprete PHP que se ejecuta en el servidor, por lo que actualizar únicamente el código de la aplicación web o complementos de terceros resulta completamente ineficaz. Los usuarios de servicios de alojamiento deben contactar proactivamente a su proveedor para confirmar si el entorno de tiempo de ejecución PHP subyacente ya ha sido actualizado. Al mismo tiempo, Cloudflare ha incorporado nuevas reglas de detección y respuesta en su Firewall de Aplicaciones Web (WAF), diseñadas para cubrir toda la cadena de transacciones HTTP, y las ha puesto a disposición de todos sus clientes —incluidos los usuarios del plan gratuito—. Durante el período previo a la aplicación definitiva del parche, es imprescindible mantener activa la protección WAF; sin embargo, debe quedar claro que estrategias temporales como las políticas WAF o las restricciones a la subida de archivos no sustituyen en ningún caso la aplicación del parche fundamental.
La firma especializada en ciberseguridad Huntress propone un plan de respuesta orientado a empresas: realizar de inmediato un inventario exhaustivo de todos los activos, abarcando servidores físicos y virtuales, paneles de administración y componentes de software de terceros integrados, con el fin de identificar con precisión todas las instancias donde se ejecute PHP; priorizar la corrección en aquellos sistemas expuestos a Internet; y, para aquellas versiones fuera de servicio que no puedan actualizarse en el corto plazo, desconectar inmediatamente su acceso a redes externas. Asimismo, es indispensable monitorear de forma continua el comportamiento de los procesos PHP, prestando especial atención a actividades sospechosas como llamadas anómalas a herramientas de línea de comandos, lanzamiento de intérpretes interactivos o descarga de archivos ejecutables desde fuentes externas; ante cualquier indicio de ello, se debe aislar de inmediato el servidor afectado y conservar íntegramente los registros de accesos al sitio web, así como los registros de errores y ejecución de PHP, para facilitar su análisis forense.
Para usuarios particulares, se recomienda seguir las pautas generales publicadas por la Agencia de Ciberseguridad e Infraestructura de Seguridad de Estados Unidos (CISA): en primer lugar, activar la autenticación de dos factores (2FA) en cuentas de alto riesgo como correo electrónico o cuentas bancarias; en segundo lugar, asignar contraseñas únicas y robustas a cada cuenta en línea, evitando absolutamente su reutilización entre distintas plataformas; y, en tercer lugar, mantener una extrema cautela ante correos electrónicos que simulen ser «alertas urgentes de restablecimiento de contraseña»: toda modificación de credenciales debe realizarse únicamente accediendo manualmente al sitio web oficial o a la aplicación oficial correspondiente —nunca haciendo clic en enlaces incluidos en dichos correos. Aunque estas medidas reducen significativamente los riesgos de suplantación de identidad y ataques de phishing, no corrigen la vulnerabilidad subyacente en el entorno PHP del servidor.
Cloudflare subraya que esta vulnerabilidad radica directamente en el intérprete PHP que se ejecuta en el servidor, por lo que actualizar únicamente el código de la aplicación web o complementos de terceros resulta completamente ineficaz. Los usuarios de servicios de alojamiento deben contactar proactivamente a su proveedor para confirmar si el entorno de tiempo de ejecución PHP subyacente ya ha sido actualizado. Al mismo tiempo, Cloudflare ha incorporado nuevas reglas de detección y respuesta en su Firewall de Aplicaciones Web (WAF), diseñadas para cubrir toda la cadena de transacciones HTTP, y las ha puesto a disposición de todos sus clientes —incluidos los usuarios del plan gratuito—. Durante el período previo a la aplicación definitiva del parche, es imprescindible mantener activa la protección WAF; sin embargo, debe quedar claro que estrategias temporales como las políticas WAF o las restricciones a la subida de archivos no sustituyen en ningún caso la aplicación del parche fundamental.
La firma especializada en ciberseguridad Huntress propone un plan de respuesta orientado a empresas: realizar de inmediato un inventario exhaustivo de todos los activos, abarcando servidores físicos y virtuales, paneles de administración y componentes de software de terceros integrados, con el fin de identificar con precisión todas las instancias donde se ejecute PHP; priorizar la corrección en aquellos sistemas expuestos a Internet; y, para aquellas versiones fuera de servicio que no puedan actualizarse en el corto plazo, desconectar inmediatamente su acceso a redes externas. Asimismo, es indispensable monitorear de forma continua el comportamiento de los procesos PHP, prestando especial atención a actividades sospechosas como llamadas anómalas a herramientas de línea de comandos, lanzamiento de intérpretes interactivos o descarga de archivos ejecutables desde fuentes externas; ante cualquier indicio de ello, se debe aislar de inmediato el servidor afectado y conservar íntegramente los registros de accesos al sitio web, así como los registros de errores y ejecución de PHP, para facilitar su análisis forense.
