Moncho Padrón (Automattic), sobre PHP2Shell: "El verdadero reto está en los servidores que nadie mantiene activamente"
Dos vulnerabilidades en PHP, el lenguaje de programación de código abierto más extendido en los servidores que albergan las páginas web y aplicaciones de todo el mundo, pusieron en alerta el pasado miércoles a todo internet dado su alcance (se estima que se usa en cerca del 70 por ciento de las webs) y el riesgo de explotación.
La amenaza que plantean las dos vulnerabilidades, conocidas como PHP2Shell, no es baladí; dan pie a que un actor malicioso ejecute su propio código en los servidores afectados, para tomar el control y alterar maliciosamente sitios web o robar datos.
Para el responsable de Comunidades Hispanohablantes y Crecimiento en Automattic, la compañía detrás de WordPress.com, Moncho Padrón, fue una respuesta "proporcionada", ya que, como ha explicado en declaraciones a Europa Press, "una vulnerabilidad que permite tomar el control de un servidor sin credenciales, en una tecnología tan extendida, es un asunto serio".
El riesgo radicó, principalmente, en que la información sobre las vulnerabilidades y la publicación del parche no siguió el mismo ritmo pese a hacerse oficialmente públicos ambos el mismo día. "La información sobre las vulnerabilidades se filtró antes de la divulgación coordinada", ha apuntado Padrón.
Ello dio lugar a intentos de explotación y pruebas de concepto, incluso algunos días antes de que venciera el embargo informativo, aunque, como ha matizado el responsable de comunidades hispanohablantes y crecimiento en Automattic, "eso no equivale a exploits confirmados y funcionales, pero demuestra la rapidez con la que los atacantes empiezan a tantear.
"Antes podían pasar días o semanas entre que una vulnerabilidad se hacía pública y su explotación masiva. Hoy, con la IA haciendo ese proceso más rápido y barato, ese margen es cada vez más corto", ha apostillado.
Padrón también ha matizado que PHP2Shell "no afecta solo a versiones obsoletas" de PHP, sino que las vulnerabilidades se extienden "a un amplio abanico de versiones y configuraciones". "La diferencia es que las versiones con soporte ya tienen parches disponibles y las antiguas no", ha señalado.
"EL IMPACTO NO HA SIDO IGUAL PARA TODOS"
Al tratarse de vulnerabilidades presentes en el lenguaje del servidor, la actualización dependía de la velocidad a la que actuaran los desarrolladores que gestionan servidores propios y de los proveedores de alojamiento ("hosting").
La comunidad Wordpress es una de las más extensas a nivel global, ya que, como proyecto de código abierto, impulsa más del 40 por ciento de la web. Ante el problema de PHP2Shell, Padrón ha confirmado que "Automattic trabajó con el equipo de seguridad de PHP para que todos los sitios alojados en sus plataformas, incluidos WordPress.com, WordPress VIP, Pressable y Tumblr, estuvieran protegidos lo antes posible".
Sin embargo, en lo que respecta a los sitios web creados con Wordpress, ha matizado que "cada sitio funciona sobre la infraestructura de su proveedor de hosting" y, por eso, "el impacto no ha sido igual para todos".
"El verdadero reto está en los servidores que nadie mantiene activamente o que siguen funcionando con versiones antiguas. Según WordPress.org, más de un tercio de las webs WordPress funcionan con versiones de PHP que ya no tienen soporte oficial", ha apuntado.
"TODO SOFTWARE TIENE VULNERABILIDADES"
Ante la pregunta de si internet está construido sobre lenguajes y arquitecturas que ponen en riesgo los datos, Padrón no cree que "internet esté construido sobre cimientos frágiles", y recuerda que "todo software tiene vulnerabilidades, también el propietario".
"La ventaja del código abierto [como es PHP] es que las vulnerabilidades se pueden detectar, coordinar y corregir de forma transparente, que es exactamente lo que ha ocurrido aquí", ha añadido para, a continuación, concluir que "el riesgo real no está en el lenguaje de programación, sino en cómo mantenemos lo que construimos".
Infobae
