Cloudflare reportó millones de intentos de explotar la falla de PHP

Amazon detectó intentos de explotar la falla de PHP desde el 17 de octubre, cuatro días antes de que se publicara la corrección. Según Amazon Threat Intelligence, el intento se registró en MadPot, un sistema señuelo que la compañía usa para atraer a actores de amenazas, y se originó desde una dirección IP asociada a una red de anonimización comercial. La firma Datadog informó que Amazon Web Services registró intentos de ataque desde esa misma fecha.

Antes del parche

El mismo miércoles 21 de octubre, el equipo de Amazon identificó "múltiples exploits de prueba de concepto para la vulnerabilidad". La compañía agregó: "Las cargas útiles y las opciones de infraestructura de anonimización variaron, lo que sugiere la participación de múltiples actores".

Los detalles técnicos se filtraron el martes 20 de octubre en un foro de hackers. La PHP Foundation, que mantiene el lenguaje, publicó las correcciones el 21, un día antes de lo previsto. Las versiones reparadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La organización advirtió que "actualizar es la única opción segura" y que las medidas alternativas solo reducen algunas vías de ataque.

Cifras de la explotación

Matthew Prince, director ejecutivo de Cloudflare, dijo en una publicación en redes sociales que la empresa "detectó miles de intentos de explotar" la vulnerabilidad en las horas previas al anuncio público. Según Prince, la cifra "alcanzó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas y ahora a millones". Cloudflare ya había advertido sobre "ataques tempranos" contra sitios PHP de su plataforma.

Dataminr, empresa de ciberseguridad especializada en inteligencia de riesgos, indicó que hasta el jueves 22 de octubre por la tarde no se había confirmado ningún ataque exitoso. La actividad se limitaba a escaneos, identificación de sistemas y exploits que no funcionaban, aunque advirtió que era "solo cuestión de tiempo" antes de que se produjeran intrusiones exitosas. Ryan Austin, investigador que trabajó en el lenguaje para la firma Calif, declaró en una entrevista: "por el momento no parece que una explotación de esta vulnerabilidad se haya generalizado ni se haya extendido".

Gobiernos y superficie expuesta

El FBI emitió el 21 de octubre una alerta para que las organizaciones de Estados Unidos que usan PHP actualicen sus sistemas de inmediato o, si no pueden, los desconecten de internet. Ante señales de intrusión, pidió aislar los equipos, preservar los registros del servidor e informar a su oficina de campo o por el portal IC3. El organismo sostuvo: "Esos informes nos ayudan a identificar a los actores involucrados y a alertar a otras organizaciones antes de que se conviertan en víctimas". La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) precisó que hasta ese momento no había observado explotación activa. La Agencia de Seguridad Nacional (NSA) pidió a las dependencias federales reemplazar los servicios basados en versiones de PHP sin soporte.

Alon Noy, cofundador de la firma Astelia, indicó que aproximadamente 2,2 millones de servidores exponen PHP a internet y que cerca de 900.000 funcionan con versiones que ya no reciben actualizaciones. Esos equipos dependerán de las soluciones que ofrezcan sus proveedores de alojamiento o los distribuidores de su sistema operativo.

La empresa de seguridad Wiz informó, en un comunicado, que las fallas habían permanecido ocultas en el código de PHP durante más de una década. Wiz usó modelos de inteligencia artificial para localizarlas y construir ataques de prueba, que mostraron que un atacante podía tomar el control de servidores con WordPress, Drupal y Joomla sin usuario ni contraseña.

Check Point Research registró actividad vinculada con PHP2Shell en el 10% de las organizaciones del mundo y en el 14% de las europeas. Alex Spokoiny, director de Seguridad y Confianza de Check Point Software Technologies, afirmó: "Lo que antes requería una investigación manual exhaustiva ahora se puede lograr mucho más rápido".

Para quienes no administran sitios, el riesgo es indirecto: si una plataforma donde tienen cuenta, como una tienda en línea, es vulnerada, sus datos personales podrían quedar expuestos.

El dato pendiente es si los intentos registrados desde el 17 de octubre derivan en intrusiones confirmadas, y cuántos servidores con versiones sin soporte reciben una solución de sus proveedores.