CISA confirms PHP2Shell vulnerabilities now exploited in attacks

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de Es­ta­dos Uni­dos in­cor­po­ró dos fa­llas crí­ti­cas de se­gu­ri­dad en PHP, co­no­ci­das en con­jun­to como PHP2Shell, a su lis­ta­do de vul­ne­ra­bi­li­da­des ex­plo­ta­das de forma ac­ti­va. Estas de­bi­li­da­des per­mi­ten que ata­can­tes sin pri­vi­le­gios lle­ven a cabo ope­ra­cio­nes com­ple­jas para lo­grar la eje­cu­ción re­mo­ta de có­di­go en equi­pos que no han re­ci­bi­do las ac­tua­li­za­cio­nes co­rres­pon­dien­tes.

El equi­po de se­gu­ri­dad de PHP so­lu­cio­nó ambas fa­llas re­cien­te­men­te, un día des­pués de haber so­li­ci­ta­do la ins­ta­la­ción de los par­ches con ur­gen­cia. A pesar de que los de­ta­lles sobre las fa­llas y al­gu­nos có­di­gos de prue­ba se fil­tra­ron antes del lan­za­mien­to de las co­rrec­cio­nes, se in­di­có que estos no fun­cio­na­ban. Dis­tin­tas em­pre­sas de ci­ber­se­gu­ri­dad iden­ti­fi­ca­ron in­ten­tos de ata­que pre­vios a la di­vul­ga­ción pú­bli­ca, aun­que se ca­ta­lo­ga­ron como in­fruc­tuo­sos, e in­ves­ti­ga­do­res se­ña­la­ron que los agre­so­res co­men­za­ron a en­fo­car sus ob­je­ti­vos días antes de la pu­bli­ca­ción de los par­ches.

Como con­se­cuen­cia, la agen­cia fe­de­ral or­de­nó a las en­ti­da­des del Poder Eje­cu­ti­vo Civil Fe­de­ral ase­gu­rar sus in­fra­es­truc­tu­ras en un plazo de­ter­mi­na­do, cum­plien­do con una di­rec­ti­va ope­ra­ti­va vin­cu­lan­te. Aun­que la agen­cia de ci­ber­se­gu­ri­dad no ha pro­por­cio­na­do más in­for­ma­ción sobre estos ata­ques en curso, un es­pe­cia­lis­ta con­fir­mó la ex­plo­ta­ción en en­tor­nos reales tras re­gis­trar in­di­cios en sis­te­mas de tram­pa. Adi­cio­nal­men­te, se in­for­mó sobre otra vul­ne­ra­bi­li­dad de eje­cu­ción re­mo­ta de có­di­go sin par­che dis­po­ni­ble que afec­ta a con­fi­gu­ra­cio­nes y có­di­gos es­pe­cí­fi­cos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el in­for­me men­cio­na­do al final ni sobre las es­ta­dís­ti­cas adi­cio­na­les de pre­ven­ción de ata­ques.