PHP2Shell: No login, no app code, no warning. What next?

Se han re­ve­la­do dos vul­ne­ra­bi­li­da­des crí­ti­cas en el nú­cleo de PHP, co­no­ci­das co­lec­ti­va­men­te como "PHP2Shell". Estas fa­llas per­mi­ten a ata­can­tes sin au­ten­ti­ca­ción eje­cu­tar có­di­go en ser­vi­do­res me­dian­te so­li­ci­tu­des web ma­ni­pu­la­das, afec­tan­do a múl­ti­ples con­fi­gu­ra­cio­nes de ser­vi­do­res y ver­sio­nes an­te­rio­res. Aun­que los de­ta­lles se fil­tra­ron antes de tiem­po, los equi­pos de se­gu­ri­dad res­pon­die­ron rá­pi­da­men­te pu­bli­can­do ac­tua­li­za­cio­nes para so­lu­cio­nar el pro­ble­ma, y ya se han re­gis­tra­do in­di­cios de ata­ques y son­deos en la red.

La di­fi­cul­tad para ex­plo­tar estas fa­llas varía según la pla­ta­for­ma y la ar­qui­tec­tu­ra de los sis­te­mas, sien­do más com­ple­jas en cier­tas con­fi­gu­ra­cio­nes pre­de­ter­mi­na­das, aun­que los ex­per­tos ad­vier­ten que las ame­na­zas pue­den evo­lu­cio­nar rá­pi­da­men­te. Los en­tor­nos ex­pues­tos a in­ter­net, es­pe­cial­men­te aque­llos con ar­qui­tec­tu­ras es­pe­cí­fi­cas o con­fi­gu­ra­cio­nes de ries­go, en­fren­tan el mayor pe­li­gro. Por ello, se re­co­mien­da re­vi­sar re­gis­tros en busca de ac­ti­vi­dad inusual y ac­tua­li­zar los sis­te­mas a las ver­sio­nes co­rre­gi­das más re­cien­tes.

Lo­ca­li­zar todas las ins­ta­la­cio­nes de PHP en una in­fra­es­truc­tu­ra puede re­sul­tar com­pli­ca­do de­bi­do a que a me­nu­do se ocul­tan en pa­que­tes del sis­te­ma ope­ra­ti­vo, co­pias agru­pa­das en Win­dows, con­te­ne­do­res o he­rra­mien­tas de de­sa­rro­llo. Para mi­ti­gar estos ries­gos, las or­ga­ni­za­cio­nes deben iden­ti­fi­car cada ins­tan­cia de PHP, prio­ri­zar la re­vi­sión de los ser­vi­do­res con ex­po­si­ción di­rec­ta a in­ter­net y apli­car los par­ches co­rres­pon­dien­tes, ade­más de con­si­de­rar me­di­das de ais­la­mien­to o re­glas de mi­ti­ga­ción si la ac­tua­li­za­ción in­me­dia­ta no es po­si­ble.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el es­ta­do de la in­fra­es­truc­tu­ra afec­ta­da ni sobre los de­sa­rro­lla­do­res es­pe­cí­fi­cos de­trás de la crea­ción de las he­rra­mien­tas de prue­ba men­cio­na­das.