Detección de PHP2Shell con Wazuh (Open Source)

El ar­tícu­lo abor­da la de­tec­ción de PHP2Shell me­dian­te la he­rra­mien­ta de có­di­go abier­to Wazuh, re­la­cio­nán­do­lo con vul­ne­ra­bi­li­da­des del motor PHP. Este pro­ble­ma per­mi­te a un ata­can­te tomar el con­trol de un ser­vi­dor web sin ne­ce­si­dad de usua­rio ni clave, afec­tan­do a cual­quier sitio con una ver­sión de PHP sin par­ches, sin im­por­tar si la apli­ca­ción se en­cuen­tra ac­tua­li­za­da. Entre sus con­se­cuen­cias des­ta­can la eje­cu­ción de có­di­go o la lec­tu­ra de me­mo­ria del ser­vi­dor, lo que puede ex­po­ner in­for­ma­ción sen­si­ble como to­kens, cla­ves de bases de datos y datos de se­sión.

Para cu­brir el pe­río­do en el que se apli­can las ac­tua­li­za­cio­nes, el mo­ni­to­reo con Wazuh per­mi­te iden­ti­fi­car in­ten­tos de ata­que, eva­luar qué ser­vi­do­res con­ti­núan ex­pues­tos y ge­ne­rar un lis­ta­do de los ele­men­tos que deben ser par­chea­dos. La so­lu­ción se com­po­ne de cinco par­tes que in­clu­yen re­glas de de­tec­ción para logs de Apa­che y nginx con PHP-FPM, una regla para aler­tas crí­ti­cas de ca­de­na de ata­que, una po­lí­ti­ca SCA para eva­luar la con­fi­gu­ra­ción y la ex­po­si­ción en cada ser­vi­dor, un in­ven­ta­rio de PHP con un re­por­te en for­ma­to CSV y un ta­ble­ro cen­tra­li­za­do en Wazuh Dash­board.

El ar­tícu­lo tam­bién de­ta­lla las li­mi­ta­cio­nes de este en­fo­que, acla­ran­do que no so­lu­cio­na el fallo ni con­fir­ma por sí mismo si el ata­que tuvo éxito, y que su co­ber­tu­ra ac­tual se cen­tra en sis­te­mas De­bian y Ubun­tu con Apa­che o nginx. Fi­nal­men­te, se re­co­mien­da ac­ti­var el mo­ni­to­reo en los ser­vi­do­res web con PHP para ob­te­ner un in­ven­ta­rio con datos con­cre­tos, prio­ri­zan­do la ac­tua­li­za­ción de aque­llos equi­pos iden­ti­fi­ca­dos como vul­ne­ra­bles y ex­pues­tos a In­ter­net.