Sophos apaga un portal y Red Hat rebaja la gravedad de las fallas de PHP

Un día después de los parches de PHP, las empresas de tecnología y seguridad empezaron a contar cómo les pegan las dos fallas críticas conocidas como PHP2Shell. Sophos sacó de línea un portal, Palo Alto todavía no tiene la versión corregida de su sistema para firewalls y Red Hat sostiene que en sus servidores la falla es más difícil de explotar de lo que indica el puntaje oficial. Hasta ahora ninguna fuente confirmó una intrusión, solo intentos de ataque, según el resumen de SecurityWeek.

Quién apagó y quién espera

Sophos detectó que su portal de licencias MyUTM, un servicio heredado, corría una versión vulnerable de PHP. Lo sacó de línea el martes 21 de octubre y lo está actualizando antes de volver a habilitarlo.

Palo Alto Networks informó que su sistema operativo para firewalls, PAN-OS, está afectado en las versiones 10.2 a 12.2 y que la corrección llegará en próximas versiones, sin fecha. Mientras tanto ofrece un parche virtual, una firma de su sistema de prevención que bloquea el ataque desde el 20 de octubre. La empresa dijo no conocer ataques contra sus productos.

Cuánto miden las fallas

El puntaje de gravedad depende de quién lo calcule. La base oficial de vulnerabilidades de Estados Unidos, la NVD, les da 9,8 sobre 10 con la versión 3.1 del sistema CVSS. El equipo de PHP las calificó con 9,2 en la versión 4, la cifra que usa LatamByte en su cobertura. Palo Alto asigna 8,7 a sus productos, y Red Hat 8,1, sin considerarlas críticas.

Red Hat explica la diferencia por la forma de instalar PHP. Sus servidores usan por defecto PHP-FPM, un modo en el que el proceso se cierra ante el error antes de llegar a la memoria dañada, y por eso la ejecución remota de código "es difícil en la práctica". El riesgo es mayor con mod_php, el módulo que corre PHP dentro del servidor web Apache. Ningún puntaje cambia la recomendación de actualizar.

Latinoamérica

En Colombia, el equipo nacional de respuesta a incidentes (ColCERT) contó con el buscador Shodan 8.699 servicios con PHP expuestos a internet. El 88 % está en redes de proveedores de internet y telecomunicaciones, donde el servidor puede ser de cualquier empresa o entidad cliente. Otros 296 están en servicios de nube y alojamiento, 242 en instituciones académicas y 186 en empresas, gremios y entidades públicas. ColCERT aclara que Shodan deduce la versión y que el número indica exposición potencial, no servidores vulnerables confirmados.

Las plataformas de criptomonedas también salieron a hablar, según CriptoNoticias. La mexicana Bitso dijo que su plataforma no está afectada y funciona con normalidad. Binance afirmó que aplicó protecciones antes de que salieran los parches y KuCoin que los fondos de sus clientes no se vieron afectados. Un responsable de seguridad de Coinbase dijo desde su cuenta personal que no encontraron PHP expuesto. Son declaraciones de las propias empresas.

Los que no van a parchear

El problema de fondo son los sistemas viejos. PHP 8.1 y anteriores no reciben arreglos, y el equipo de inteligencia de Cisco, Talos, calcula que cerca de la mitad de los sistemas con PHP no va a recibir parche. Qualys encontró entre sus clientes 167 millones de instalaciones de PHP, el 73 % en equipos expuestos a internet, y el 71 % de las que tienen versión conocida corre una sin soporte.

Cuidado con los exploits de prueba

Junto con las fallas aparecieron programas que prometen demostrar el ataque. La empresa de seguridad JFrog advirtió que algunos son falsos y se publicaron "como bromas". Uno simula descifrar y ejecutar código malicioso, y en realidad cambia el fondo de pantalla de quien lo corre por contenido explícito. Para comprobar si un servidor está expuesto alcanza con mirar la versión de PHP. Correr código bajado de internet para probarlo suma un riesgo y no reemplaza la actualización.

El mapa de la región y los países que avisaron están en el especial de LatamByte.