PHP2Shell: Dos vulnerabilidades críticas sin parchear en PHP que permiten la ejecución remota de código (RCE) (CVSS 9,2) desencadenan una alerta de seguridad de emergencia

PHP pre­pa­ró una pu­bli­ca­ción de se­gu­ri­dad fuera de su ca­len­da­rio ha­bi­tual para aten­der dos fa­llas crí­ti­cas de eje­cu­ción re­mo­ta de có­di­go, las cua­les re­ci­bie­ron una ca­li­fi­ca­ción de gra­ve­dad de 9.2 por parte de su equi­po de se­gu­ri­dad. La me­di­da de emer­gen­cia se or­ga­ni­zó luego de que ocu­rrie­ra una fil­tra­ción de in­for­ma­ción y tras con­fir­ma­cio­nes de in­ves­ti­ga­do­res de se­gu­ri­dad sobre la ve­ra­ci­dad del re­por­te, lo que mo­ti­vó un aviso ofi­cial por parte de los de­sa­rro­lla­do­res antes de la fecha ini­cial­men­te pre­vis­ta por ter­ce­ros.

Los par­ches ofi­cia­les úni­ca­men­te es­ta­rán dis­po­ni­bles para las cua­tro ramas que ac­tual­men­te cuen­tan con so­por­te ofi­cial, de­jan­do sin ac­tua­li­za­cio­nes a ver­sio­nes an­te­rio­res que ya han lle­ga­do al fin de su vida útil. Aun­que hasta el mo­men­to no se han do­cu­men­ta­do ata­ques ac­ti­vos ni se cuen­ta con un có­di­go de ex­plo­ta­ción pú­bli­co, di­ver­sas fir­mas de se­gu­ri­dad con­ta­bi­li­za­ron una gran can­ti­dad de ser­vi­do­res ex­pues­tos en in­ter­net que uti­li­zan ver­sio­nes an­ti­guas, los cua­les ca­re­ce­rán de un par­che di­rec­to por parte del pro­vee­dor.

Ante la falta de de­ta­lles es­pe­cí­fi­cos sobre los al­can­ces de las vul­ne­ra­bi­li­da­des y la au­sen­cia tem­po­ral de so­lu­cio­nes de­fi­ni­ti­vas o mé­to­dos al­ter­na­ti­vos de mi­ti­ga­ción, se han di­fun­di­do re­co­men­da­cio­nes pre­ven­ti­vas. Estas me­di­das acon­se­jan rea­li­zar un in­ven­ta­rio com­ple­to de las ins­ta­la­cio­nes, pre­pa­rar las ac­tua­li­za­cio­nes in­me­dia­tas para los sis­te­mas ex­pues­tos, ais­lar los equi­pos que uti­li­cen ver­sio­nes sin so­por­te y vi­gi­lar los pro­ce­sos ini­cia­dos por el soft­wa­re para de­tec­tar po­si­bles ano­ma­lías mien­tras se pu­bli­ca la in­for­ma­ción ofi­cial de­fi­ni­ti­va.