PHP2Shell: cómo actuar ante la alerta del FBI que pide desconectar sitios web vulnerables en Estados Unidos

El FBI emitió el miércoles 21 de octubre una alerta para que todas las organizaciones en Estados Unidos que operan sitios web con PHP actualicen sus sistemas de inmediato. Si no pueden hacerlo, la agencia les pidió desconectarlos de internet, según informó CBS News. Dos fallas críticas en ese lenguaje de programación —que sostiene cerca del 70 % de las páginas web del mundo— permiten a un atacante tomar el control de un servidor sin necesidad de contraseña.

PHP es la tecnología que funciona detrás de escena en millones de sitios: procesa formularios, consulta bases de datos y genera las páginas que el usuario ve en su navegador. Plataformas como WordPress, Drupal y Joomla dependen de él. Las vulnerabilidades, bautizadas en conjunto como PHP2Shell, no están en el código de esas plataformas, sino en PHP mismo, de modo que un sitio puede haber reforzado todas sus defensas propias y seguir expuesto.

El FBI instruyó a aislar equipos comprometidos e informar a sus oficinas de campo

La división cibernética del FBI publicó un mensaje en la red social X con pasos concretos. Pidió a las empresas inventariar todos los puntos donde funciona PHP, con prioridad en los sistemas accesibles desde internet, y vigilar la actividad de los servidores en busca de comportamientos anómalos, como programas que se ejecuten sin autorización o archivos que se descarguen sin explicación.

Si detectan señales de intrusión, la agencia instruyó aislar los equipos, preservar los registros del servidor e informar a la oficina de campo local o a través del portal IC3 (ic3.gov). “Esos informes nos ayudan a identificar a los actores involucrados y a alertar a otras organizaciones antes de que se conviertan en víctimas”, indicó el FBI.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y la Agencia de Seguridad Nacional (NSA) emitieron avisos paralelos el mismo día. CISA precisó que hasta ese momento no había observado explotación activa, pero instó a aplicar las actualizaciones de seguridad en los sistemas expuestos a internet y a retirar de la red aquellos con versiones antiguas de PHP que ya no reciben correcciones. La NSA pidió a todas las dependencias federales reemplazar los servicios basados en versiones de PHP que llegaron al final de su ciclo de soporte.

Las versiones corregidas y la única medida que elimina el riesgo

La PHP Foundation —la organización que mantiene el lenguaje— publicó las correcciones el 21 de octubre, un día antes de lo previsto, porque detalles técnicos se filtraron el 20 de octubre. Las versiones reparadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La organización advirtió que “actualizar es la única opción segura” y que las medidas alternativas solo reducen algunas vías de ataque.

El problema, sin embargo, no alcanza a todos por igual. Alon Noy, cofundador de la firma Astelia, indicó que aproximadamente 2,2 millones de servidores exponen PHP a internet y que cerca de 900.000 funcionan con versiones que ya no reciben actualizaciones. Esos equipos dependerán de soluciones que ofrezcan sus proveedores de alojamiento o los distribuidores del sistema operativo que utilicen.

La inteligencia artificial encontró fallas que llevaban más de una década ocultas

La empresa de ciberseguridad Wiz reveló que utilizó modelos de inteligencia artificial para localizar las vulnerabilidades y construir ataques de prueba que demostraran su gravedad. Los investigadores probaron que un atacante podía tomar el control de servidores con WordPress, Drupal y Joomla sin necesidad de usuario ni contraseña, y además leer información sensible —como credenciales de acceso y claves de conexión con otros servicios— directamente de la memoria interna del servidor.

Andrés Guerrero-Saade, vicepresidente de inteligencia en SentinelOne, explicó a CBS News que la IA acorta el tiempo entre la publicación de una corrección y el momento en que los atacantes logran aprovechar la falla. “Toda esa brecha entre que el parche está disponible y los atacantes logran aprovecharlo antes de que alguien lo instale, ese es esencialmente todo el juego”, señaló.

Qué pueden hacer los usuarios que no administran servidores

Para quienes no gestionan sitios web, PHP2Shell no implica una actualización que puedan instalar en su teléfono o computadora. El riesgo es indirecto: si una tienda en línea, un servicio de reservas o cualquier plataforma donde tengan cuenta fue vulnerada, su información personal podría estar comprometida.

Voldemaras Kadys, jefe de seguridad de Mediatech, explicó a CBS News que el peligro no está en visitar un sitio con PHP, sino en que atacantes exploten una plataforma que almacene datos de sus usuarios. “Si un usuario tiene una cuenta en una tienda en línea, los atacantes podrían hackear ese sitio y extraer la información almacenada allí, como su correo electrónico, dirección física, nombre y fecha de nacimiento”, detalló.

Entre las precauciones recomendadas:

• Cambiar las contraseñas de los sitios donde se tenga cuenta activa, sobre todo tiendas y servicios financieros.
• Activar la autenticación en dos pasos en todas las plataformas que lo permitan.
• Desconfiar de correos o mensajes que usen la noticia como excusa para pedir datos personales.
• Ingresar a los servicios solo desde aplicaciones oficiales o direcciones web habituales, sin seguir enlaces recibidos por correo.

La firma Datadog informó que Amazon Web Services registró intentos de ataque desde el 17 de octubre, cuatro días antes de que las correcciones estuvieran disponibles, lo que indica que algunos atacantes ya conocían las fallas antes de la divulgación pública.