La Fundación PHP admite un «fracaso estructural» que retrasó una corrección crítica de seguridad

La Fundación PHP ha reconocido que la indecisión y la escasez de recursos retrasaron una solución para una vulnerabilidad de seguridad crítica detectada por primera vez en 2024, calificando la respuesta demorada como un «fracaso estructural».

Agencias gubernamentales y otras organizaciones de todo el mundo desconectaron sus sitios web el miércoles como medida preventiva mientras PHP publicaba parches de emergencia para dos vulnerabilidades críticas relacionadas. Estas fallas podrían permitir a atacantes no autenticados ejecutar código en servidores afectados sin iniciar sesión.

PHP es un lenguaje de programación ampliamente usado para impulsar sitios web y aplicaciones web, incluidos los sistemas de gestión de contenidos.

En una entrada de blog tras la publicación del parche, la fundación explicó cómo sus desarrolladores detectaron indicios de la vulnerabilidad en 2024, pero les costó encontrar una solución sin interrumpir el vasto ecosistema de software construido con PHP.

«Combinado con la ausencia de una vía conocida para la ejecución remota de código y el reducido equipo de desarrolladores principales con conocimientos profundos del motor —ocupados además con múltiples responsabilidades—, este proceso de decisión hizo que el trabajo en la solución se estancara y reiniciara repetidamente durante meses», afirmó la fundación.

«No lo disfrazaremos: el retraso fue un fracaso estructural, causado tanto por el proceso de decisión del equipo de seguridad como por su falta de recursos.»

La fundación volvió a ser alertada sobre la vulnerabilidad el 11 de agosto, tras informes independientes de la firma de ciberseguridad Calif y de OpenAI sobre el mismo problema subyacente; Calif demostró una ejecución remota de código incondicional, lo que elevó su prioridad a máxima.

Sitios web se apagan ante la alarma de seguridad de PHP

La interrupción se extendió globalmente, ya que los desarrolladores desconectaban sitios web mientras se preparaban para instalar las correcciones de emergencia.

Los Países Bajos cerraron su servicio digital de identidad, y el Centro Nacional de Ciberseguridad del país también desconectó su sitio web.

El proveedor estatal de TI de Finlandia, Valtori, desconectó los servicios web públicos gubernamentales, mientras que el Ministerio del Interior francés retiró temporalmente los sitios web de las prefecturas. Según Reuters, el proveedor federal de TI de Alemania, ITZBund, también inhabilitó varios sitios web.

En Australia, la Dirección de Señales Australianas reconoció que su sitio web de ciberseguridad, cyber.gov.au, fue uno de los afectados por el problema de PHP.

La primera ministra japonesa Sanae Takaichi publicó en X una advertencia a los operadores de sitios web para que aplicaran el parche lo antes posible. En su mensaje, señaló que suspender temporalmente las funciones del sitio podría reducir el riesgo si no era posible aplicar el parche de inmediato.

La Fundación Wikimedia, que opera Wikipedia, indicó que desconectó algunos servicios auxiliares como medida preventiva, incluidos Toolforge y Cloud VPS —que alojan herramientas y proyectos usados por desarrolladores voluntarios—, provocando caídas parciales de Wikipedia el miércoles.

SlowMist, firma especializada en seguridad blockchain, señaló que su servicio MistEye analizó el uso de PHP en la industria cripto, instando a exchanges, plataformas DeFi y proveedores de billeteras a revisar su exposición y actualizar sus sistemas. Identificó 793 dominios con huellas digitales directas de PHP entre 1.488 evaluados.

Intersect, organización miembro que apoya el desarrollo y gobernanza de la blockchain Cardano, indicó que había desconectado temporalmente su Área de Miembros mientras evaluaba su posible exposición. La página sigue sin estar disponible al momento de redactar esta noticia.

Jeff Lunglhofer, director de seguridad de Coinbase, afirmó que la empresa no halló evidencia de instancias PHP expuestas.

«Cada vez que conocemos vulnerabilidades como esta, realizamos automáticamente una revisión exhaustiva para garantizar la máxima seguridad posible. También colaboramos con nuestros proveedores externos para mayor certeza.»

La empresa de infraestructura de activos digitales BitGo también indicó que su plataforma no se vio afectada por la vulnerabilidad de PHP.

Mientras tanto, Changpeng Zhao, cofundador de Binance, advirtió el miércoles a los usuarios de internet que sean «especialmente cautelosos» al visitar cualquier sitio web en los próximos días, ya que algunos administradores podrían no haber aplicado las actualizaciones de seguridad.

OpenAI ha lanzado una habilidad Codex para ayudar a los operadores de sitios web a detectar versiones potencialmente vulnerables de PHP e identificar las actualizaciones correspondientes, accesible mediante GitHub.

El equipo de seguridad de PHP indicó que, al momento de su divulgación pública, no había identificado exploits funcionales.

Revista: 5 alternativas a Ledger para almacenar tu Bitcoin