PHP lanzó parches de emergencia para dos fallas críticas que amenazan a millones de sitios web

El equipo de seguridad de PHP , el lenguaje de programación que funciona detrás de la mayoría de los sitios de internet, anunció un parche de emergencia para dos fallas críticas que podrían permitir a un atacante tomar el control de un servidor sin necesidad de ninguna contraseña.

El aviso oficial, publicado el martes en el sitio php.net, calificó ambas vulnerabilidades con una puntuación de 9,2 sobre 10 en la escala CVSS, el sistema que la industria usa para medir la gravedad de una falla de seguridad.

La actualización estaba prevista para las 14:00 UTC de este miércoles.

PHP es el motor detrás de WordPress, Drupal, Joomla y Magento, además de paneles de control de alojamiento y software que ni siquiera anuncia que lo usa por dentro.

Según la consultora W3Techs, el lenguaje sostiene cerca del 70% de los sitios web cuyo programa de servidor se puede identificar.

Las dos fallas permitirían ejecutar código de forma remota: que un atacante logre que el servidor corra las órdenes que él mismo escriba, sin haber iniciado sesión, según coincidieron varios investigadores.

PHP no detalló qué parte del lenguaje está afectada ni qué configuración activa el problema, y dijo que esa información llegaría recién con el parche.

El organismo de ciberseguridad de la Unión Europea, CERT-EU, recomendó a las organizaciones que no puedan aplicar la actualización de inmediato que consideren desconectar sus sitios de internet hasta tener el parche instalado.

El Centro Nacional de Ciberseguridad del Reino Unido y la agencia equivalente de Australia emitieron alertas similares.

Una filtración apuró el calendario El anuncio llegó antes de lo previsto porque la información se filtró.

La empresa de investigación watchTowr confirmó en la red social X que los detalles de las fallas, pensados para revelarse recién el jueves bajo un acuerdo de divulgación coordinada con otros investigadores, se conocieron un día antes por una publicación anónima. watchTowr dijo que las vulnerabilidades son reales y que logró reproducir una de ellas en un entorno de prueba, aunque decidió no difundir los detalles técnicos hasta que el parche esté disponible.

La empresa de seguridad Huntress, por su parte, afirmó que hasta el martes no había detectado que las fallas estuvieran siendo explotadas en los sistemas de sus clientes.

Esa calma no duró.

El director de tecnología de Cloudflare, Dane Knecht, escribió en X que la compañía ya veía “ataques tempranos” contra sus clientes y que había desplegado reglas de protección automática como medida provisoria.