Según informes, los hackers se adelantaron cuatro días a una vulnerabilidad épica de PHP, denominada PHP2Shell. La Agencia de Seguridad Nacional (NSA) advirtió que los fallos suelen ofrecer una vía directa al sistema de archivos o a la base de datos de un servidor. "Si no es posible una actualización inmediata, se recomienda que las organizaciones desconecten el sistema hasta que la amenaza se haya mitigado por completo", afirmó la NSA.
Investigadores de dos grupos estadounidenses de ciberseguridad, Calif y Wiz, descubrieron las vulnerabilidades. Wiz, propiedad de Alphabet, calculó que el lenguaje de programación comprometido impulsa aproximadamente el 70 por ciento de todos los sitios web del mundo. "Dada la gravedad de estos fallos y el uso generalizado de PHP, consideramos que este es uno de los problemas de seguridad con mayor impacto en la memoria reciente", declaró Open AI el miércoles. "Según nuestros datos, la IA de frontera encontró estas vulnerabilidades antes que los atacantes".
"Pone de manifiesto cómo la IA puede descubrir fallos de seguridad con un impacto a escala de Internet, pero las mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos", añadió el laboratorio de IA. Open AI trabajó con PHP, Calif y Wiz para verificar las vulnerabilidades y desarrollar los parches. La Casa Blanca indicó que las agencias federales están evaluando los posibles impactos de los errores en los sistemas gubernamentales y las infraestructuras críticas.
La amplia presencia de PHP en Internet se debe en gran medida a que WordPress, la plataforma de creación de sitios web más utilizada, está escrita principalmente en PHP y depende de él para funcionar. El Centro Nacional de Ciberseguridad del Reino Unido afirmó que las vulnerabilidades podrían permitir a un hacker tomar el control del servidor de un sitio web sin necesidad de contraseña u otras credenciales de acceso. "El NCSC insta a las organizaciones del Reino Unido a tomar medidas inmediatas", indicó.
Fuente: Ars Technica · Resumido por HeadlinesBriefing