У esta mañana me inundó Twitter, de repente, con noticias sobre PHP.
PHP Foundation escribe sobre la corrección de dos vulnerabilidades críticas en el núcleo, ambas con una calificación de 9.2 sobre 10 según CVSS 4, lo cual es muchísimo. Ambas vulnerabilidades permiten ejecutar código arbitrario en el servidor: una debido a un error de desbordamiento y la otra porque el núcleo puede apuntar a una región de memoria a la que no debería apuntar. Hoy a las 14:00 UTC se publicará la versión con las correcciones, y el equipo de PHP pide encarecidamente actualizarse inmediatamente después de eso.
Para entender la magnitud del problema, hay que entender que una gran parte del backend en internet actualmente funciona con PHP. Un gran porcentaje está en versiones antiguas, y un enorme número de servicios no se actualizarán hoy, lo que significa que, potencialmente, otro enjambre de agentes ejecutará allí código arbitrario y, en el mejor de los casos, eliminará la base de datos o filtrará datos. En el peor de los casos, robará dinero o desactivará algún equipo que se conecta a ese backend.
Reuters escribe que la agencia de ciberseguridad holandesa desconectó sus servicios como medida de precaución, y varios sitios en los Países Bajos ya han hecho lo mismo, incluidos sitios de varios hospitales. La empresa municipal danesa Kombit también está desconectando sus servicios, y en Finlandia las interrupciones son aún más extensas: allí han desconectado los sitios de las autoridades hasta que salga la corrección.
Para que se hagan una idea, PHP ahora mismo está detrás de sitios como Wikipedia, Etsy, Fandom y millones de sitios en WordPress y otros motores. Yo mismo, hace unos 5-7 años, escribía aplicaciones en Symfony con millones de usuarios y facturación.
Es curioso, por supuesto, que ambas vulnerabilidades fueran encontradas con la ayuda de agentes, y lo más probable es que también sean explotadas con la ayuda de agentes, de lo cual pronto oiremos hablar.
Si en su empresa tienen proyectos en PHP, y spoiler: en una enorme cantidad de bigtech y en particular fintech de la CEI, especialmente antiguos, hay viejos monolitos en PHP, informen a sus responsables de seguridad que necesitan actualizarse.