Para que se cumplan las condiciones descritas, la aplicación debe cambiar en tiempo de ejecución el manejador de serialización de sesiones a “php” antes de iniciar una sesión. Además, debe estar habilitada la función de seguimiento del progreso de carga de sesiones, por lo que la alerta no describe una exposición automática en cualquier instalación de PHP.
Hasta que llegue la próxima versión rutinaria con la corrección, PHP recomienda desactivar el seguimiento del progreso de carga de sesiones. Esa misma configuración ya servía como medida alternativa para una de las dos primeras fallas, de modo que quienes la aplicaron para mitigar ese problema no necesitan hacer un cambio adicional por la nueva advertencia.
Elizabeth Barron, directora ejecutiva de la PHP Foundation, dijo a The Register que la fundación no espera encontrar esa combinación de ajustes en uso práctico. La evaluación no elimina la vulnerabilidad ni reemplaza el parche futuro, pero ayuda a explicar por qué PHP optó por una recomendación preventiva en lugar de otra corrección de emergencia.
Las primeras correcciones y el rastreo de servidores
PHP corrigió las dos primeras fallas el 21 de octubre, después de que investigadores que utilizan inteligencia artificial las reportaran. Las soluciones quedaron disponibles en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, por lo que los administradores pueden comprobar si sus sistemas ejecutan una de esas ediciones corregidas.
Mientras continúa la actualización de los sistemas, CYFIRMA informó que un grupo de habla coreana vinculado con Corea del Norte está escaneando discretamente 216 servidores en busca de las dos primeras vulnerabilidades. Entre los objetivos figuran organismos gubernamentales, bancos, aeropuertos y plataformas de transacciones en línea, en Estados Unidos, Japón, Corea del Sur, India, Australia, la Unión Europea y otros lugares.
La firma publicó su aviso el 23 de octubre y lo actualizó al día siguiente; según su análisis, los operadores trabajan desde 21 máquinas secuestradas. CYFIRMA no confirmó que el grupo haya conseguido una intrusión masiva, una distinción importante porque el escaneo de un servidor no demuestra por sí solo que el atacante haya explotado una falla o accedido a información.
El fundador y director ejecutivo de CYFIRMA, Kumar Ritesh, describió la actividad como deliberadamente lenta y de bajo volumen, con nodos que los operadores rotan o abandonan ante señales de bloqueo o limitación de velocidad. La firma considera con alta confianza que los operadores están vinculados con Corea del Norte, basándose en el idioma, sus conversaciones en un canal cerrado de I2P y los objetivos; su asociación con el Grupo Lazarus, en cambio, tiene un nivel de confianza moderado.
Una alerta retirada y ninguna intrusión confirmada públicamente
Según el análisis de CYFIRMA, la siguiente etapa consistiría en seleccionar los servidores más prometedores y decidir qué métodos disponibles públicamente conviene adaptar. Esa descripción apunta a una actividad de reconocimiento y planificación, pero no acredita que los operadores hayan conseguido comprometer los sistemas que escanean.
La incertidumbre también afecta a una alerta difundida por Unit 42, el equipo de investigación de Palo Alto Networks. El 23 de octubre, Unit 42 afirmó que atacantes habían utilizado PHP2Shell contra un organismo gubernamental europeo y que, en menos de dos horas, habían alcanzado hashes de contraseñas y secretos de autenticación multifactor; también señaló indicios de que un agente de inteligencia artificial realizaba el trabajo.
El domingo, Unit 42 retiró esa actualización y aclaró que no podía confirmar que el acceso inicial estuviera relacionado con los CVE específicos de PHP2Shell. La rectificación cambia el alcance de la afirmación original: el reporte ya no constituye evidencia confirmada de que esas vulnerabilidades fueran la puerta de entrada al organismo europeo.
Cloudflare ha reportado intentos de ataque que llegan a millones, pero esa cifra describe actividad de intentos y no intrusiones exitosas. Autoridades de Alemania y Japón ya habían dicho que no detectaron compromisos confirmados, y hasta el viernes nadie había informado públicamente de una intrusión exitosa mediante PHP2Shell, según The Register.
Administradores y fabricantes aún deben revisar sus sistemas
Barron también dijo que, hasta ese momento, la PHP Foundation no tenía evidencia de explotación de las vulnerabilidades en versiones de PHP que ya estuvieran parcheadas. Esa observación se refiere específicamente a las versiones corregidas y no equivale a afirmar que las instalaciones vulnerables estén fuera de riesgo, especialmente mientras siguen los escaneos reportados.
La exposición potencial no se limita a servidores web convencionales: algunos dispositivos de almacenamiento conectado a la red ejecutan PHP como parte de su propio software. Synology ya distribuyó paquetes actualizados de PHP, mientras que QNAP confirmó que varios de sus productos estaban afectados y que trabajaba en correcciones, sin anunciar una fecha para publicarlas.
QNAP no reportó ataques contra sus productos afectados. TerraMaster, por su parte, indicó que trabajaba en una solución, aunque la información disponible no detalla una fecha de lanzamiento ni el alcance de los modelos que requerirán la actualización.
Para los administradores, la respuesta práctica depende de distinguir entre las dos primeras fallas y la tercera: instalar las versiones corregidas para los problemas iniciales y, para la nueva vulnerabilidad, desactivar temporalmente el seguimiento del progreso de carga de sesiones si la configuración resulta aplicable. La recomendación de PHP reduce la exposición descrita mientras llega el arreglo rutinario, pero revisar las versiones y los avisos de cada fabricante sigue siendo clave, en particular para quienes gestionan dispositivos NAS.
ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.
diariobitcoin.com
