Imagen para ayudar a comprender el artículo
Una falla permite ejecutar código malicioso sin autenticación
El Gobierno de Corea del Sur elevó el día 22 de “interés” a “precaución” el nivel de alerta por crisis cibernética en el sector privado, ante la continuidad de los intentos de ataque vinculados a PHP2Shell.
El Ministerio de Ciencia y Tecnologías de la Información y la Comunicación y la Agencia de Internet y Seguridad de Corea (KISA) activaron la nueva alerta al mediodía y pusieron en marcha un sistema de respuesta de emergencia. Las instrucciones urgentes fueron remitidas a unas 28.000 empresas obligadas a registrar un responsable de seguridad de la información y a cerca de 5.900 compañías integrantes del sistema nacional de intercambio de inteligencia sobre amenazas.
PHP2Shell agrupa dos vulnerabilidades derivadas de fallos en la gestión de memoria de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas pueden permitir que un atacante ejecute código malicioso en un servidor sin necesidad de autenticarse. Su nivel de gravedad alcanza 9,2 puntos sobre 10.
Intentos de explotación antes de publicarse el parche
El equipo de inteligencia de amenazas de Amazon informó que detectó intentos de explotación el día 17, cuatro días antes de que el equipo desarrollador de PHP distribuyera el parche de seguridad.
Durante las primeras 24 horas desde la divulgación, la firma Imperva contabilizó 482.342 solicitudes relacionadas con estas vulnerabilidades y 122.311 sesiones de ataque dentro de los entornos que protege. La actividad alcanzó 21.998 sitios web de 103 países, aunque la compañía aclaró que esas cifras no equivalen al número de intrusiones exitosas.
Palo Alto Networks calcula que alrededor de 22 millones de instancias de PHP están expuestas a internet en todo el mundo. La empresa precisó que esto no significa que todas sean vulnerables.
Empresas surcoreanas ofrecen herramientas gratuitas
Varias compañías de ciberseguridad de Corea del Sur publicaron recursos gratuitos para facilitar la detección y respuesta. Theori reprodujo el código de ataque y difundió una guía junto con un script para revisar configuraciones. La firma advirtió que las medidas provisionales no bloquean por completo la amenaza y pueden afectar algunas funciones, por lo que resulta necesario instalar el parche oficial.
Enki WhiteHat lanzó un escáner gratuito para comprobar la versión y la configuración de PHP. Su director ejecutivo, Lee Seong-kwon, subrayó que, ante una vulnerabilidad de gran alcance, es esencial aprovechar el periodo crítico para localizar y proteger los activos expuestos antes que los atacantes.
Piolink habilitó una página en la que los administradores pueden introducir la dirección de un sitio web para consultar la versión de PHP y saber si necesita una actualización. Cuando el servidor oculta esa información, el sistema muestra que no es posible verificarla y recomienda una revisión directa. Stealien también presentó un servicio gratuito en línea, mientras que AhnLab explicó cómo detectar ejecuciones anómalas de comandos, creación de webshells y modificaciones de archivos.
Estas comprobaciones externas tienen limitaciones. Si un servidor oculta su versión de PHP, no siempre es posible determinar si está afectado. Además, un resultado aparentemente normal no permite conocer la configuración interna ni descartar que el sistema haya sido comprometido con anterioridad.
Actualizar, reiniciar y buscar rastros de intrusión
KISA recomendó instalar la versión de seguridad más reciente de PHP y reiniciar después el servicio web. La agencia explicó que los programas ejecutados antes de la actualización pueden permanecer en la memoria y conservar la vulnerabilidad.
Los responsables de los sistemas deben revisar como mínimo los registros de acceso generados desde el 20 de octubre y, cuando sea posible, examinar también los anteriores. Tras aplicar el parche, conviene comprobar si se instaló algún webshell y sustituir credenciales sensibles, como contraseñas de bases de datos y tokens de autenticación.
La Comisión de Protección de Información Personal pidió prestar especial atención a herramientas de administración de bases de datos basadas en PHP, como phpMyAdmin, cuando están expuestas al exterior o cuentan con permisos excesivos. El organismo recomendó limitar su acceso desde internet y buscar registros anómalos relacionados con consultas o extracciones masivas de datos personales.
Yang Cheong-sam, secretario general de la comisión, alertó de que el problema podría ir más allá del compromiso de una página web y alcanzar las bases de datos conectadas, con el consiguiente riesgo de filtraciones a gran escala. Por ello, reclamó reforzar tanto las actualizaciones de seguridad como la vigilancia de accesos sospechosos.
Críticas al seguimiento de los organismos públicos
Durante una auditoría parlamentaria celebrada el día 23, el diputado Han Jun-ho cuestionó que KISA no hubiera podido verificar suficientemente qué organismos públicos mantenían sistemas vulnerables y cuáles habían completado las actualizaciones, pese a la emisión de la alerta urgente.
El presidente de KISA, Lee Sang-jung, respondió que la responsabilidad operativa está repartida entre las distintas instituciones y que existen limitaciones normativas para inspeccionar directamente cada sistema. Han solicitó que la agencia informe posteriormente a su oficina sobre el avance de las medidas de respuesta.
Comentarios
Publicar un comentario