PHP2Shell: dos vulnerabilidades críticas de PHP dejan medio Internet offline

PHP tiene dos bugs críticos de seguridad. Permiten a cualquier persona ejecutar código en tu servidor sin hacer login. Afectan a WordPress, MediaWiki, Magento, Joomla, Laravel y a todo lo que ejecuta PHP. Al principio circula una nota de 10 sobre 10. La nota real es 9,2, y Javi lo resume así: «una barbaridad».

El 20 de octubre, PHP anuncia en su blog una release de seguridad para el 21 de octubre a las 14 UTC. Pero los detalles de los bugs se filtran antes del parche. Las vulnerabilidades se reportan en 2024, pero entonces nadie sabe explotarlas. Ahora varias empresas sí lo consiguen, y Amazon detecta intentos de explotación el 18 de octubre. Una empresa parchea sus servidores por su cuenta, y eso ayuda a filtrar los detalles.

La recomendación de la NSA, el FBI, CISA, el gobierno de Reino Unido y el CERT europeo es la misma: desconecta tu web, actualiza y vuelve a ponerla online. Según Censys, 1,5 millones de servidores ejecutan una versión sin fix. Hasta la primera ministra de Japón publica un aviso. Webs de gobiernos, la Wikipedia, archive.org y el puerto de Rotterdam pasan a offline.

Oficialmente, PHP solo da soporte de seguridad a partir de la 8.2. Aun así, PHP publica el parche también para la 7.4, la 8.0 y la 8.1. Para versiones más antiguas, tienes los repositorios de Ondřej Surý y de Remi Collet. La lección de Javi: si tu política de cooldown espera 7 días para actualizar dependencias, haz una excepción con los parches críticos. Ver en vídeo.