Dos vulnerabilidades de PHP, un lenguaje de programación muy utilizado en sitios web y aplicaciones web, dieron lugar a un esfuerzo coordinado para corregir sistemas expuestos. Según los investigadores, los fallos podían permitir a los atacantes tomar el control de servidores sin parches accesibles desde internet, sin necesidad de una contraseña.
Los fallos, denominados PHP2Shell e identificados como CVE-2026-109618 y CVE-2026-109619, se descubrieron en 2024, pero entonces no se consideraron explotables y no se corrigieron. Más tarde, investigadores de Calif encontraron una forma de explotarlos y avisaron a PHP Foundation, que mantiene el software. La fundación compartió las correcciones de forma confidencial con grandes empresas y proveedores de alojamiento web antes de publicarlas el miércoles.
Los fallos permiten la ejecución remota de código sin que la víctima tenga que hacer clic en un enlace ni abrir un archivo. Un atacante podría usar el acceso para instalar malware, robar datos o mantener una presencia en un sistema afectado. Según el informe de origen, alrededor del 70 % de la web accesible desde internet depende de PHP.
La divulgación coordinada ayudó hasta ahora a evitar una explotación generalizada, pero los investigadores advirtieron que muchos sistemas seguían sin parches y vulnerables. El informe señala que algunas organizaciones desconectaron sitios web y servicios mientras aplicaban las correcciones, y que los gobiernos empezaron a instar a quienes gestionan sitios web a abordar los riesgos. La iniciativa Hack the Planet, de OpenAI y Wiz, participó en la investigación; Wiz verificó las pruebas de concepto de Calif. Calif dijo que la IA ayudó en el trabajo, aunque los investigadores se basaron en gran medida en sus conocimientos previos del código de PHP y su historial de explotación. Amazon afirmó que detectó ataques mediante PHP2Shell antes de que se publicaran las correcciones.
Comentarios
0Aún no hay comentarios. Escribe el primero.