Ayer todo el mundo hablaba de las vulnerabilidades de PHP y cundía el pánico. Les eché un vistazo y traté de entenderlas.
PHP es un lenguaje de programación muy común para el backend de sitios web. Lo usan muchos sitios, incluidos WordPress y Magento.
Las dos vulnerabilidades graves que salieron a la luz tienen una puntuación CVSS de 9,2. En pocas palabras, bajo ciertas condiciones, los atacantes pueden ejecutar código de forma remota sin siquiera iniciar sesión, atacar directamente los servidores de los sitios web y, en los casos más graves, robar bases de datos y credenciales, e incluso tomar el control de todo el servidor.
━━━━━━━━━━━━
Ayer ocurrió algo absurdo: en principio, estaba previsto divulgar ambas vulnerabilidades el 22 de octubre, para dar tiempo al equipo de desarrollo a corregirlas.
Pero el 20 de octubre, un tipo se fue de la lengua en Hacker News y reveló la existencia de las vulnerabilidades antes de tiempo.
Y enseguida hubo otro desaguisado:
El equipo de seguridad Calif, que participaba en la investigación de las vulnerabilidades, publicó antes de tiempo un video de demostración de un ataque PoC. Aunque lo borraron enseguida, el video ya se estaba difundiendo por Internet. (Está más abajo).
Las vulnerabilidades aún estaban en proceso de coordinación para su corrección, pero la demostración del ataque ya se había hecho pública. Así que el equipo oficial de PHP no tuvo más remedio que adelantar la publicación del parche al 21 de octubre.
Además, el equipo de seguridad ya ha informado de intentos reales de explotar las vulnerabilidades. Algunas instituciones gubernamentales y sitios web incluso optaron por desconectarse temporalmente para dar prioridad a la investigación y la corrección.
━━━━━━━━━━━━
¿Qué implica todo esto para nosotros?
Si los sitios web que visitas con frecuencia tienen vulnerabilidades en el backend y no las corrigen a tiempo, una vez que los hackeen podrían modificar sus páginas, insertar contenido de phishing o incluso convertirlas en una vía para robar credenciales.
En especial, si usas criptomonedas, estos días procura acceder a exchanges, monederos y sitios de airdrops a través de sus canales oficiales. No hagas clic en enlaces desconocidos ni firmes nada a la ligera. Se dice que en los próximos dos días la actividad maliciosa será muy intensa.
Esta vulnerabilidad existe desde hace años, pero la asistencia de la IA en la investigación ha reducido las barreras para encontrarla y desarrollar métodos para explotarla.
Una vez que se filtra una vulnerabilidad, los atacantes pueden actuar rápidamente, mientras que los numerosos sitios web de todo el mundo necesitan tiempo para aplicar las correcciones.
En otras palabras, la velocidad a la que se corrigen las vulnerabilidades está compitiendo con la velocidad a la que se propagan las técnicas de ataque.
PHP es un lenguaje de programación muy común para el backend de sitios web. Lo usan muchos sitios, incluidos WordPress y Magento.
Las dos vulnerabilidades graves que salieron a la luz tienen una puntuación CVSS de 9,2. En pocas palabras, bajo ciertas condiciones, los atacantes pueden ejecutar código de forma remota sin siquiera iniciar sesión, atacar directamente los servidores de los sitios web y, en los casos más graves, robar bases de datos y credenciales, e incluso tomar el control de todo el servidor.
━━━━━━━━━━━━
Ayer ocurrió algo absurdo: en principio, estaba previsto divulgar ambas vulnerabilidades el 22 de octubre, para dar tiempo al equipo de desarrollo a corregirlas.
Pero el 20 de octubre, un tipo se fue de la lengua en Hacker News y reveló la existencia de las vulnerabilidades antes de tiempo.
Y enseguida hubo otro desaguisado:
El equipo de seguridad Calif, que participaba en la investigación de las vulnerabilidades, publicó antes de tiempo un video de demostración de un ataque PoC. Aunque lo borraron enseguida, el video ya se estaba difundiendo por Internet. (Está más abajo).
Las vulnerabilidades aún estaban en proceso de coordinación para su corrección, pero la demostración del ataque ya se había hecho pública. Así que el equipo oficial de PHP no tuvo más remedio que adelantar la publicación del parche al 21 de octubre.
Además, el equipo de seguridad ya ha informado de intentos reales de explotar las vulnerabilidades. Algunas instituciones gubernamentales y sitios web incluso optaron por desconectarse temporalmente para dar prioridad a la investigación y la corrección.
━━━━━━━━━━━━
¿Qué implica todo esto para nosotros?
Si los sitios web que visitas con frecuencia tienen vulnerabilidades en el backend y no las corrigen a tiempo, una vez que los hackeen podrían modificar sus páginas, insertar contenido de phishing o incluso convertirlas en una vía para robar credenciales.
En especial, si usas criptomonedas, estos días procura acceder a exchanges, monederos y sitios de airdrops a través de sus canales oficiales. No hagas clic en enlaces desconocidos ni firmes nada a la ligera. Se dice que en los próximos dos días la actividad maliciosa será muy intensa.
Esta vulnerabilidad existe desde hace años, pero la asistencia de la IA en la investigación ha reducido las barreras para encontrarla y desarrollar métodos para explotarla.
Una vez que se filtra una vulnerabilidad, los atacantes pueden actuar rápidamente, mientras que los numerosos sitios web de todo el mundo necesitan tiempo para aplicar las correcciones.
En otras palabras, la velocidad a la que se corrigen las vulnerabilidades está compitiendo con la velocidad a la que se propagan las técnicas de ataque.