PHP2Shell: se avecina una explotación masiva de las vulnerabilidades críticas de PHP que se han filtrado

Se ha fil­tra­do en in­ter­net in­for­ma­ción acer­ca de dos fa­llos crí­ti­cos de se­gu­ri­dad en PHP, bau­ti­za­dos bajo el nom­bre PHP2Shell, antes de que se rea­li­za­ra la di­vul­ga­ción coor­di­na­da y se pu­bli­ca­ran los par­ches ofi­cia­les. Ante esta si­tua­ción, PHP emi­tió una ad­ver­ten­cia para que los usua­rios se pre­pa­ren de cara a una ac­tua­li­za­ción in­me­dia­ta tan pron­to como los arre­glos estén dis­po­ni­bles, se­ña­lan­do ade­más que las co­rrec­cio­nes po­drían lan­zar­se antes de lo pre­vis­to si se re­ve­la­ban de­ta­lles téc­ni­cos o si se de­tec­ta­ban ata­ques ac­ti­vos en en­tor­nos reales.

Los pro­ble­mas de se­gu­ri­dad están ca­ta­lo­ga­dos con iden­ti­fi­ca­do­res es­pe­cí­fi­cos y cuen­tan con una pun­tua­ción de gra­ve­dad muy ele­va­da. Según CERT-EU, al po­seer dicha ca­li­fi­ca­ción, ambas fa­llas per­mi­ten la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción, lo que daría la po­si­bi­li­dad a los ata­can­tes de con­se­guir ac­ce­so a los ser­vi­do­res afec­ta­dos. In­for­mes pú­bli­cos apun­tan a que todas las ver­sio­nes de PHP a par­tir de la nú­me­ro 5 se en­cuen­tran im­pac­ta­das, y aun­que to­da­vía no se han di­vul­ga­do la causa raíz ni las rutas de ata­que com­ple­tas, se cree que uno de los fa­llos co­rres­pon­de a un error de tipo use-after-free.

Una em­pre­sa es­pe­cia­li­za­da en ges­tión de ex­po­si­ción logró re­pro­du­cir uno de los pro­ble­mas, con­fir­man­do su au­ten­ti­ci­dad aun­que de­ci­dió no re­ve­lar más datos hasta que apa­rez­can los par­ches. Por su parte, fir­mas de se­gu­ri­dad in­di­ca­ron que no se han ob­ser­va­do ata­ques en curso uti­li­zan­do estas vul­ne­ra­bi­li­da­des; sin em­bar­go, otra com­pa­ñía es­ti­ma que la ex­plo­ta­ción ma­si­va po­dría co­men­zar a los pocos mi­nu­tos de que las so­lu­cio­nes sean lan­za­das de ma­ne­ra ofi­cial.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos adi­cio­na­les de estas vul­ne­ra­bi­li­da­des.