Dos graves problemas de seguridad en internet han surgido, poniendo en alerta a los administradores de sitios web. El primero involucra certificados TLS con un cifrado extremadamente débil que podría afectar a VPN y dispositivos IoT. El otro es una grave vulnerabilidad en el lenguaje de programación PHP que impacta sistemas CMS como WordPress y Drupal. Ambos problemas podrían resultar en ataques a gran escala y requerir enormes trabajos de limpieza, advierten expertos en seguridad.
La Fundación PHP lanzó parches de seguridad para dos vulnerabilidades críticas calificadas con 9.2 de 10 en la escala de gravedad. Un informe muestra video de una herramienta llamada PHP2Shell ejecutando código en servidores web, incluyendo las últimas versiones de WordPress, MediaWiki, Symphony, Drupal y otros sitios basados en PHP. La firma de seguridad Towr afirma que la vulnerabilidad afecta a cada versión desde PHP 5 (2004) en adelante, permitiendo potencialmente a atacantes ejecutar su propio código en un servidor.
Una empresa basada en India llamada e Mudhra informó que ocho de sus certificados CA intermedios han sido comprometidos. Las claves privadas son débiles, oscilando entre tres y ocho bits en lugar de los habituales 384 bits, permitiendo potencialmente a atacantes falsificar credenciales para sitios web y aplicaciones. Mozilla, Google y Apple han bloqueado los certificados comprometidos, pero una utilidad de macOS puede seguir confiando en ellos. e Mudhra ha revocado los certificados y ha culpado a un script usado para generarlos.
El mayor riesgo actualmente es para las VPN, especialmente donde los gobiernos intentan interceptar tráfico, y dispositivos IoT. Filippo Valsorda advirtió que esto será un trabajo de limpieza masivo mayor que Heartbleed. Los administradores web están trabajando apresuradamente para parchear los problemas, con algunos sitios web basados en PHP potencialmente cayendo brevemente.
Fuente: Engadget · Resumido por HeadlinesBriefing