Qué pasó
Alrededor del 20 de octubre se publicaron dos fallas graves en PHP, que es el programa que hace funcionar la mayor parte de los sitios web del mundo. Se las conoce como PHP2Shell.
Lo que permiten es lo más serio que puede permitir una falla: que alguien desde fuera tome el control del servidor sin necesitar ninguna clave. Sin usuario, sin contraseña, sin nada.
Si tu sitio está hecho en WordPress, Drupal, Joomla, Magento o cualquier otra herramienta de las habituales, está dentro del grupo afectado. Y ya hay intentos de ataque detectados en el mundo real, así que no es una alerta teórica.
¿Esto me afecta a mí?
Si tienes un sitio web, lo más probable es que sí. Pero no necesitas saber nada técnico para averiguarlo.
Basta con una pregunta a quien te lleva la página, sea tu proveedor de hosting, tu agencia o la persona de informática:
¿En qué versión de PHP está nuestro sitio y cuándo la actualizaron por última vez?
Las versiones corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35. Si te dicen un número igual o mayor que esos, estás cubierto.
Si te dicen 8.1 o algo más antiguo, ahí hay un problema concreto: esas versiones ya no reciben arreglos de seguridad. No es que todavía no las hayan corregido. Es que no las van a corregir.
Qué hacer, en orden
- Pregunta hoy en qué versión está tu sitio. Es una sola pregunta y la respuesta llega en minutos.
- Si está en una versión antigua, pide que la suban. En la mayoría de los servicios de hosting esto se cambia desde el panel de administración, en una sola pantalla.
- Pide que te confirmen el número exacto después del cambio. Muchos paneles muestran solo 8.3 sin el detalle, y si la versión instalada es anterior a la 8.3.36, sigues expuesto aunque el panel diga que actualizaste.
- Guarda ese intercambio de correos. Es el único respaldo que vas a tener de que actuaste y de cuándo lo hiciste.
El correo que puedes copiar y enviar ahora
Si quieres resolverlo en los próximos cinco minutos, copia esto y mándalo a quien corresponda:
Asunto: Actualización urgente de PHP por vulnerabilidad crítica
Hola. Se publicó una vulnerabilidad crítica en PHP, conocida como PHP2Shell, que permite ejecución de código sin autenticación. Necesito saber dos cosas: en qué versión de PHP está corriendo nuestro sitio hoy, y si está en una versión anterior a las corregidas (8.5.12, 8.4.27, 8.3.36 u 8.2.35), cuándo pueden actualizarla. Si nuestra versión es 8.1 o anterior, entiendo que no hay parche disponible y que corresponde subir de versión. Quedo atento a su confirmación por este medio, con el número exacto de versión que quede instalada.
No hace falta que sepas más que eso. Con ese correo, quien administra tu sitio ya tiene todo lo que necesita.
Si te dicen que no se puede actualizar ahora
Pasa, y es una respuesta legítima. Un sitio con años encima y complementos antiguos puede quedarse abajo si se le cambia la versión de golpe. El camino en ese caso es actualizar primero los complementos y el tema, y después la versión de PHP.
Lo que sí conviene tener claro es que ahí aparece una decisión, y no es técnica, es del dueño del negocio: seguir operando con el riesgo mientras se arregla, o bajar el sitio hasta corregirlo. La recomendación internacional para sistemas que no se pueden parchar es la segunda.
Hay medidas temporales que se pueden aplicar mientras tanto, y sirven, pero reducen la exposición en vez de eliminarla. Conviene pedirlas, y conviene no quedarse ahí.
Por qué te lo contamos
Esta alerta la preparó Diego Aguirre, ingeniero informático de nuestro equipo, y se la enviamos a nuestros clientes apenas se publicó.
La publicamos acá porque es el tipo de aviso que normalmente se queda circulando entre gente de informática y no llega a quien tiene que tomar la decisión. Y la decisión de actualizar, o de asumir el riesgo, no es del que administra el servidor: es de la gerencia.
Si manejas un sistema de gestión de seguridad de la información, o estás pensando en certificar ISO 27001, este caso es exactamente la clase de situación que ese sistema está hecho para ordenar.
Cuéntanos qué tienes montado y qué te está pidiendo tu cliente.
