PHP2Shell permite a un atacante tomar el control de los servidores donde viven millones de webs. No hace falta que la web esté mal hecha ni que el usuario sea descuidado para sufrir las consecuencias.
Esta semana, dos vulnerabilidades críticas en PHP, el lenguaje sobre el que funcionan alrededor del 70% de las webs del mundo, obligaron a gobiernos y empresas a desconectar servicios por precaución. El parche ya existe, pero los ataques empezaron antes de que estuviera disponible, y miles de servidores siguen sin actualizar. La pregunta que se hacen empresas y ciudadanos es sencilla: ¿qué me puede pasar?
La respuesta corta es que quien explota PHP2Shell puede tomar el control del servidor en el que vive una web, sin usuario ni contraseña y desde cualquier parte del mundo. A partir de ahí, las posibilidades son muchas.
Lo que puede sufrir una empresa
- Robo de datos de clientes. El atacante accede a la base de datos: nombres, correos, direcciones, teléfonos, historiales de compra y contraseñas. También obtiene las claves que la web usa para conectarse a otros servicios, como la nube, las pasarelas de pago o el correo electrónico.
- Espionaje silencioso. Ni siquiera necesita tomar el servidor. Una de las técnicas permite leer la memoria del sistema y capturar contraseñas, sesiones abiertas o certificados de otros usuarios conectados en ese momento. Es como escuchar las conversaciones de quienes pasan por caja.
- Puertas traseras. Lo habitual es dejar accesos ocultos para volver más tarde, aunque la empresa aplique después el parche. Actualizar no expulsa al intruso que ya entró.
- Extorsión y secuestro de datos. Con las claves robadas, el atacante puede saltar a otros sistemas de la compañía, cifrarlos y exigir un rescate, o amenazar con publicar la información.
- Daño legal y reputacional. Una fuga de datos personales obliga a notificarla a la Agencia Española de Protección de Datos en un plazo de 72 horas, con posibles sanciones y reclamaciones de los afectados. Si la web de la empresa se usa para estafar a sus propios clientes, el golpe a la confianza puede ser más caro que la multa.
- Parón del negocio. Incluso sin ataque, muchas organizaciones han tenido que apagar sus servicios por precaución. La empresa de recursos humanos BambooHR desconectó su plataforma en tres países y avisó de retrasos en las nóminas.
Hay un riesgo añadido que suele pasarse por alto. Amazon detectó intentos de ataque desde el 17 de octubre, cuatro días antes de que existiera el parche. Una empresa que actualizó el miércoles puede creerse a salvo cuando el intruso lleva días dentro.
Lo que puede sufrir un ciudadano
El usuario corriente no tiene que hacer nada mal para verse afectado. El riesgo no está en su ordenador ni en su móvil, sino en las webs que utiliza cada día.
- Sus datos, en manos ajenas. Si una tienda, un foro, un ayuntamiento o una universidad en la que está registrado resulta comprometida, sus datos personales y su contraseña pueden acabar a la venta. Si usa esa misma contraseña en otros servicios, el daño se multiplica. Un caso reciente de información potencialmente comprometida es el incidente de Renfe, tras el que se recomendó a los usuarios cambiar su contraseña.
- Cargos en la tarjeta. Un atacante puede manipular el formulario de pago de una tienda online para copiar los datos de las tarjetas de quienes compran, sin que ni la tienda ni el cliente lo noten.
- Estafas más creíbles. Con datos reales robados, los mensajes fraudulentos por correo o SMS pueden citar compras auténticas, números de pedido o direcciones verdaderas, lo que los hace mucho más convincentes. Estrella Digital también ha informado de estafas que utilizan datos reales de reservas hoteleras para resultar creíbles.
- Webs legítimas convertidas en trampas. Una página de confianza manipulada puede redirigir a webs fraudulentas o intentar instalar programas maliciosos en el dispositivo del visitante.
- Servicios públicos caídos. Lo ocurrido con DigiD en los Países Bajos ilustra el riesgo: quedarse sin el equivalente a Cl@ve para hacer trámites, o sin cobrar la nómina a tiempo.
Por qué España está especialmente expuesta
Una parte enorme de las webs de pymes, comercios electrónicos y ayuntamientos españoles funciona sobre WordPress o PrestaShop, a menudo en alojamientos compartidos. En esos casos es el proveedor, y no el propietario de la web, quien debe actualizar PHP. Muchos responsables de webs no lo saben, y creen que actualizar WordPress basta. No es así: actualizar la aplicación no actualiza el PHP que funciona debajo.
El problema no termina con el parche
Las versiones 8.1 y anteriores de PHP ya no reciben actualizaciones oficiales, y la 8.2 dejará de recibirlas a final de año. Según la firma CybelAngel, de los más de dos millones de servidores PHP expuestos directamente a internet, casi seis de cada diez funcionan con versiones para las que no llegará una corrección oficial. Muchas de esas webs, abandonadas o mal mantenidas, seguirán siendo vulnerables durante meses, y seguirán guardando los datos de quienes un día se registraron en ellas.
Qué hacer
Si gestiona una web o una empresa: compruebe con su proveedor de alojamiento o su equipo técnico que PHP está actualizado a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o superiores. Pida además que se revise si hubo accesos sospechosos desde el 17 de octubre. Cualquier incidente puede notificarse a INCIBE a través del teléfono 017 o, en el caso de organismos públicos, al CCN-CERT.
Si es usuario: durante las próximas semanas, desconfíe de cualquier correo o SMS que mencione compras, pedidos o cuentas, aunque parezca auténtico y contenga datos reales. No reutilice contraseñas, active la verificación en dos pasos donde sea posible y revise los movimientos de su tarjeta.
Si recibe un aviso de brecha de una web en la que está registrado, cambie la contraseña de inmediato. Para recibir orientación, también puede consultar cómo funciona el teléfono gratuito 017 de ayuda del INCIBE.
PHP2Shell deja una lección incómoda. La seguridad de internet ya no depende solo de que cada uno cierre bien su puerta. Depende también de los cimientos sobre los que todos hemos construido, y de que alguien los vigile.
Fuente: estrelladigital
