Los expertos en ciberseguridad alertaron la semana pasada acerca de una brecha de seguridad que explota dos vulnerabilidades de PHP, uno de los lenguajes de programación más utilizados para el desarrollo de páginas web y aplicaciones online.
“Las vulnerabilidades de PHP son fallos de seguridad que, en determinadas circunstancias, pueden ser aprovechados por los ciberdelincuentes para acceder a información confidencial, manipular el funcionamiento de una web o incluso ejecutar instrucciones maliciosas en el servidor que la aloja”, explica Hervé Lambert, Global Consumer Operation Manager de Panda Security.
“Para entenderlo de forma sencilla, es como descubrir que una puerta tiene un fallo en su cerradura. La puerta sigue funcionando con normalidad, pero alguien que conozca ese defecto podría abrir la puerta y entrar sin permiso”, aclara.
¿Cuáles son esas vulnerabilidades?
“Se trata de dos vulnerabilidades críticas, con una severidad muy alta, de 9,2 sobre 10”, detalla Gabriela Zornoza, experta en seguridad híbrida de Check Point Software.
“Estamos hablando de dos fallos críticos, conocidos como PHP2Shell, que afectan a la gestión de la memoria y a los errores del sistema. Esto podría permitir a un atacante tomar el control de un servidor vulnerable sin necesidad de conocer sus contraseñas. A partir de ahí, podría robar datos de clientes, modificar contenidos o interrumpir servicios”, detalla Lambert.
“El alcance es preocupante, porque este lenguaje está presente en aproximadamente el 70% de las páginas web. Eso no significa que todas estén comprometidas, pero sí que existe una superficie de exposición enorme y que es fundamental aplicar cuanto antes las actualizaciones de seguridad disponibles”, añade.
Además, Zornoza recuerda que “tres días después salió una nueva vulnerabilidad en PHP, pero esta sólo afecta a algunas webs con una configuración muy concreta”.
¿Te pueden afectar?
El experto de Panda advierte que “estas vulnerabilidades pueden afectar a cualquier pyme que tenga una página web, una tienda online o una app desarrollada con PHP y que use una versión vulnerable de este lenguaje”.
Por tanto, se trata de un riesgo al que se ven expuestas empresas de cualquier sector y tamaño, “desde un pequeño comercio que vende por internet hasta una asesoría, una clínica privada o una empresa de servicios que gestiona información de sus clientes a través de su web”, recalca.
En concreto, la responsable de Check Point puntualiza que “estas vulnerabilidades afectan a cualquier organización, plataforma o sistema que tenga servidores que acepten peticiones web PHP en versiones no actualizadas desde la 8.1 hasta la 8.5 y se encuentren expuestos a internet”. Asimismo, indica que afecta a “organizaciones que usen productos de terceros que utilizan PHP como tecnología en su backend”.
Lambert apunta que “entre las empresas más expuestas se encuentran aquellas que usan gestores de contenidos como WordPress, Joomla o Drupal, siempre que funcionen con versiones de PHP afectadas”.
Asimismo, indica que estas vulnerabilidades comprometen a las empresas “que dependen de plataformas de comercio electrónico o que cuentan con aplicaciones desarrolladas a medida y llevan tiempo sin actualizar sus sistemas”.
Además, hace hincapié en que la falta de recursos técnicos propios es un factor que puede aumentar considerablemente el riesgo en las pequeñas empresas. “Muchas pymes externalizan la creación y el mantenimiento de sus páginas web y no siempre saben qué tecnología utilizan, qué versión tienen instalada o cuándo se realizó la última actualización de seguridad”.
Por su parte, Zornoza considera que las entidades más expuestas son aquellas que carecen de defensas automatizadas basadas en inteligencia artificial (IA) capaces de anticiparse a estos ataques (WAF Firewalls). “Sobre todo, si han construido sus infraestructuras de manera fragmentada, dispersa o heterogénea, combinando centros de datos tradicionales con nubes públicas o privadas, sin tener una visión unificada de la seguridad de estos entornos”, especifica.
¿Qué consecuencias tienen?
La experta de Check Point afirma que “las consecuencias de una brecha de este tipo son sumamente graves, ya que el ciberdelincuente puede lograr la toma de control total del servidor afectado e instalar web shells u otros scripts maliciosos en carpetas públicas para mantener un acceso permanente sin levantar sospechas”.
Asimismo, toda la información y las bases de datos del sitio web pueden quedar expuestas, “permitiendo que el servidor vulnerado sea utilizado como una ‘cabeza de playa’ para lanzar asaltos posteriores y movimientos laterales hacia el resto de la infraestructura interna de la organización”, añade.
Por tanto, “si un ciberdelincuente consigue explotar una de estas vulnerabilidades, podría llegar a acceder al servidor de la empresa, robar información confidencial, modificar contenidos o introducir programas maliciosos”, tal y como explica Lambert.
Esto se entiende mejor con un ejemplo hipotético, pero que podría ser real. “Pensemos en una pequeña tienda online. Un ataque de este tipo podría dejarla sin servicio durante horas o incluso días, impidiendo que sus clientes realicen compras y provocando pérdidas económicas notables. Además, si los atacantes consiguen acceder a datos personales de los compradores, como nombres, direcciones o información de contacto, la empresa tendría que afrontar las consecuencias de una posible brecha de datos, incluidas las obligaciones legales que establece el Reglamento General de Protección de Datos (RGPD)”, expone el responsable de Panda.
El riesgo no acaba ahí. “También debemos tener en cuenta el daño reputacional. Para una pyme, que sus clientes pierdan la confianza en la seguridad de su página web puede tener consecuencias que se prolonguen mucho más allá del propio incidente. Recuperar esa confianza requiere tiempo y recursos que muchas pequeñas empresas no tienen”, asegura.
Y todavía existe un riesgo más. “Si los atacantes consiguen hacerse con el control del servidor, podrían utilizarlo para distribuir malware, lanzar ataques contra terceros o intentar acceder a otros sistemas conectados a la infraestructura de la empresa”.
Por tanto, quizá no valga sólo con reparar el fallo técnico. “También puede implicar gastos de recuperación, pérdida de ingresos, posibles responsabilidades legales y daños a la reputación. Para una pyme, la suma de todos estos factores puede llegar a comprometer seriamente la continuidad de su negocio”, advierte.
¿Cómo saber si nos han atacado?
Para una pyme puede ser complicado detectar que su seguridad ha sido comprometida. Por eso, conviene esta atentos a estas señales. “Cuando un servidor ha sido infectado mediante la explotación exitosa de esta vulnerabilidad, el compromiso suele manifestarse inicialmente a través de la alteración de la propia aplicación web con la instalación de web shells en carpetas públicas o archivos modificados», anota Zornoza.
Asimismo, señala que “la infección se puede delatar mediante un consumo anómalo e injustificado de recursos de CPU o memoria RAM debido a procesos no autorizados en segundo plano, la presencia de peticiones HTTP inusuales con comandos del sistema operativo en los registros (logs) de la máquina y la detección por parte del cortafuegos de tráfico saliente sospechoso que intenta comunicarse con la infraestructura externa del atacante”,
¿Cómo protegernos?
Para evitar posibles problemas, conviene seguir estas recomendaciones.
Comprobar la versión de PHP y actualizar
Lo primero que debemos hacer es comprobar si la página web o las aplicaciones de la empresa utilizan PHP. Y en caso de así sea, revisar la versión instalada. “Muchas pequeñas empresas desconocen esta información porque han delegado el desarrollo y mantenimiento de sus webs en proveedores externos. Por eso, mi primera recomendación sería contactar con su responsable informático o proveedor de alojamiento web para verificar si sus sistemas están afectados y aplicar cuanto antes las actualizaciones de seguridad correspondientes”, comenta Lambert. Además, aconseja “comprobar si existen indicios de que los sistemas hayan sido comprometidos”.
Revisar gestores de contenido, plugins y aplicaciones
El portavoz de Panda Security recuerda que “también es importante revisar los gestores de contenidos, los plugins y las aplicaciones que utiliza la empresa, mantenerlos actualizados y eliminar aquellos componentes que ya no reciben soporte”.
Otras medidas preventivas
Lambert aconseja adoptar ciertas medidas básicas de protección, “como realizar copias de seguridad periódicas, limitar los permisos de acceso a los servidores y utilizar sistemas de monitorización que permitan detectar actividades sospechosas”.
Asimismo, la responsable de Check Point recomienda “abandonar los enfoques reactivos tradicionales y adoptar una arquitectura de malla de seguridad híbrida (Hybrid Mesh Security) que permita gestionar políticas consistentes de manera unificada en todos los entornos”.
También aconseja implementar “defensas preventivas basadas en IA, como un WAF automatizado capaz de detener ataques de día cero y proporcionar un parcheo virtual inmediato interceptando los intentos de explotación en tiempo real”. Además, señala que “es fundamental el uso de la microsegmentación para aislar aplicaciones y evitar que el compromiso de un único servidor se propague al resto de la red corporativa”.
Actuar con rapidez
Finalmente, el experto de Panda recuerda que “hay que actuar con rapidez”. “Estamos hablando de vulnerabilidades críticas para las que ya existen actualizaciones de seguridad. Si una empresa no puede instalarlas inmediatamente, debería consultar con su proveedor tecnológico qué medidas temporales puede adoptar para reducir su exposición y valorar incluso la suspensión provisional de los servicios afectados hasta que puedan protegerse adecuadamente”, subraya.
¿Y si ya han entrado?
Si ya has detectado una intrusión, hay que moverse con celeridad. “Si un atacante ya ha conseguido acceder al servidor, será necesario identificar y eliminar cualquier posible amenaza”, apunta Lambert.
“El primer paso debería ser contactar con el proveedor tecnológico o con un especialista en ciberseguridad para identificar qué sistemas han sido comprometidos, contener el ataque y determinar hasta dónde han podido llegar los ciberdelincuentes. Después, en función de la gravedad del incidente, puede ser necesario aislar temporalmente el servidor afectado, restringir determinados accesos o suspender algunos servicios. También es fundamental conservar los registros y las evidencias del ataque, porque pueden ayudar a determinar qué ha ocurrido, qué información ha podido quedar expuesta y cómo evitar que vuelva a suceder”, aclara.
Por su parte, Zornoza incide en que “hay que actuar de inmediato aplicando medidas de contención mediante microsegmentación para aislar el servidor afectado y evitar que la amenaza se propague lateralmente hacia el resto de la red corporativa”.
Además, reseña que “se deben limpiar los accesos no autorizados localizando y eliminando cualquier web shell o archivo modificado, a la par que se realiza un análisis exhaustivo de los registros y del tráfico de red para auditar el alcance real de la intrusión y determinar qué información o bases de datos han podido quedar expuestas”.
Una vez controlada la situación, el experto de Panda apunta que “es imprescindible corregir la vulnerabilidad que ha permitido el acceso, eliminar cualquier programa malicioso que hayan podido instalar los atacantes, cambiar las credenciales comprometidas y comprobar que los sistemas son seguros antes de volver a ponerlos en marcha”. Y en caso de ser preciso recuperar información a partir de copias de seguridad, remarca que “habrá que verificar que estas no estén comprometidas”.
Por otro lado, recuerda que “si el ataque ha comprometido datos personales y existe un riesgo para los derechos y libertades de las personas afectadas, la empresa deberá notificar la brecha a la Agencia Española de Protección de Datos, por regla general, en un plazo máximo de 72 horas desde que tenga constancia de ella”.
