La Fundación PHP reconoció que la indecisión y la falta de recursos retrasaron la solución de una vulnerabilidad de seguridad crítica detectada por primera vez en 2024, y calificó la prolongada respuesta de «fallo estructural».
El miércoles, organismos gubernamentales y otras organizaciones de todo el mundo desactivaron sitios web de forma preventiva mientras PHP publicaba parches de emergencia para dos vulnerabilidades críticas relacionadas. Estas vulnerabilidades podrían haber permitido a atacantes no autenticados ejecutar código en los servidores afectados sin iniciar sesión.
PHP es un lenguaje de programación muy utilizado en sitios web y aplicaciones web, incluidos los sistemas de gestión de contenidos.
En una publicación de blog posterior al lanzamiento del parche, la fundación describió cómo sus desarrolladores detectaron por primera vez indicios de la vulnerabilidad en 2024, pero tuvieron dificultades para encontrar una solución que no interrumpiera el funcionamiento de un amplio ecosistema de software creado con PHP.
«Sumado a la falta de una vía conocida para ejecutar código de forma remota y a un pequeño equipo de desarrolladores principales con los profundos conocimientos necesarios del motor, pero que tenían muchas responsabilidades, este proceso de toma de decisiones hizo que el trabajo en el parche se detuviera y reanudara repetidamente durante varios meses», declaró la fundación.
«No vamos a fingir que no es así: el retraso fue un fallo estructural, causado tanto por el proceso de toma de decisiones del equipo de seguridad como por la falta de recursos».
El 11 de agosto volvieron a alertar a la fundación sobre la vulnerabilidad después de que la empresa de ciberseguridad Calif y OpenAI informaran independientemente de la misma causa raíz. Calif demostró la ejecución remota de código sin restricciones, lo que convirtió la vulnerabilidad en una prioridad de seguridad.
Sitios web desconectados ante las preocupaciones por la seguridad de PHP
Las interrupciones se extendieron por todo el mundo: los desarrolladores desconectaron sitios web mientras se preparaban para instalar parches de emergencia.
Países Bajos desconectó su servicio de identidad digital, y el Centro Nacional de Ciberseguridad del país también retiró su sitio web de la red.
Valtori, el proveedor estatal de TI de Finlandia, desconectó los servicios web públicos del Gobierno, y el Ministerio del Interior de Francia puso temporalmente fuera de línea los sitios web de las prefecturas. El proveedor federal de TI de Alemania, ITZBund, también desconectó varios sitios web, según Reuters.
En Australia, la Dirección Australiana de Señales reconoció que su sitio web de ciberseguridad, cyber.gov.au, estaba entre los sitios gubernamentales afectados por el problema de PHP.
La primera ministra de Japón, Sanae Takaichi, publicó en X un llamado a los operadores de sitios web para que se prepararan cuanto antes para instalar el parche. En su publicación, afirmó que suspender temporalmente los sitios web podría reducir el riesgo si el parche no se podía instalar de inmediato.
La Fundación Wikimedia, que administra Wikipedia, afirmó que había desconectado preventivamente algunos servicios auxiliares, incluidos Toolforge y Cloud VPS, que alojan herramientas y proyectos utilizados por desarrolladores voluntarios. Como resultado, algunas partes de Wikipedia quedaron inaccesibles el miércoles.
Intersect, una organización de miembros que apoya el desarrollo y la gobernanza de la cadena de bloques Cardano, informó que había desactivado temporalmente su sección para miembros mientras evaluaba una posible vulnerabilidad. Al momento de escribir este artículo, la página seguía sin estar disponible.
El director de seguridad de Coinbase, Jeff Lunglhofer, afirmó que la empresa no había encontrado indicios de instancias vulnerables de PHP.
«Cuando nos enteramos de vulnerabilidades como esta, realizamos automáticamente una revisión completa para asegurarnos de que todo sea lo más seguro posible. También trabajamos con nuestros proveedores externos para obtener garantías adicionales».
La empresa de infraestructura digital BitGo también afirmó que su plataforma no se había visto afectada por la vulnerabilidad de PHP.
Mientras tanto, el cofundador de Binance, Changpeng Zhao, advirtió el miércoles a los usuarios de Internet que fueran «especialmente cautelosos» al visitar cualquier sitio web durante los próximos días, ya que algunos administradores de sitios quizá aún no hubieran instalado los parches de seguridad más recientes.
OpenAI lanzó una habilidad de Codex que ayuda a los operadores de sitios web a comprobar si tienen versiones potencialmente vulnerables de PHP y a determinar las actualizaciones adecuadas; se puede acceder a ella a través de GitHub.
El equipo de seguridad de PHP afirmó que, en el momento de la divulgación pública, no había identificado ningún exploit funcional.