PHP shares mitigation for new RCE vulnerability with no patch

El equi­po de se­gu­ri­dad de PHP ha co­mu­ni­ca­do me­di­das de mi­ti­ga­ción para una nueva vul­ne­ra­bi­li­dad de eje­cu­ción re­mo­ta de có­di­go, la cual no cuen­ta con un par­che y afec­ta a sis­te­mas con con­fi­gu­ra­cio­nes que no son pre­de­ter­mi­na­das. Dicho fallo de se­gu­ri­dad solo puede ser apro­ve­cha­do si se ata­can sis­te­mas que pre­sen­tan una com­bi­na­ción poco común entre có­di­go de apli­ca­ción y con­fi­gu­ra­ción, re­qui­rien­do que la apli­ca­ción con­fi­gu­re cier­tos pa­rá­me­tros es­pe­cí­fi­cos y man­ten­ga ha­bi­li­ta­do el pro­gre­so de carga de se­sio­nes. Como al­ter­na­ti­va mien­tras se pu­bli­ca la so­lu­ción de­fi­ni­ti­va en el si­guien­te ciclo de lan­za­mien­to re­gu­lar, los de­sa­rro­lla­do­res acon­se­jan des­ac­ti­var el pro­gre­so de carga de se­sio­nes.

Dicha me­di­da de mi­ti­ga­ción coin­ci­de con las ac­cio­nes to­ma­das pre­via­men­te ante otros dos fa­llos crí­ti­cos de eje­cu­ción re­mo­ta de có­di­go agru­pa­dos bajo el nom­bre de PHP2Shell, los cua­les ya fue­ron co­rre­gi­dos por el equi­po de se­gu­ri­dad. Aun­que ini­cial­men­te los có­di­gos de prue­ba pu­bli­ca­dos no fun­cio­na­ban y la ac­ti­vi­dad ob­ser­va­da por di­ver­sas em­pre­sas de ci­ber­se­gu­ri­dad e in­te­li­gen­cia de ame­na­zas se ha li­mi­ta­do prin­ci­pal­men­te a ras­treo, aná­li­sis y el uso de ex­ploits in­efi­ca­ces antes y des­pués de la di­vul­ga­ción pú­bli­ca, se han re­gis­tra­do múl­ti­ples in­ten­tos de ex­plo­ta­ción ge­ne­ra­li­za­da por parte de dis­tin­tos ac­to­res ma­li­cio­sos en en­tor­nos reales.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre la efec­ti­vi­dad o el im­pac­to final de di­chos ata­ques en los sis­te­mas afec­ta­dos.