El sector de la seguridad web experimenta un estado de máxima alerta tras el descubrimiento de dos graves vulnerabilidades de seguridad que amenazan la estabilidad de millones de sitios web y sistemas de comunicaciones en todo el mundo, en medio de advertencias de expertos en ciberseguridad sobre la posible ocurrencia de ataques a gran escala que requerirán ingentes esfuerzos de limpieza y mantenimiento.
Detalles de la grave vulnerabilidad de PHP
El primer problema está relacionado con una vulnerabilidad de software crítica en el lenguaje de programación PHP, que afecta directamente a sistemas populares de gestión de contenido como WordPress y Drupal. La Fundación PHP (PHP Foundation) ha anunciado el lanzamiento de parches de seguridad para solucionar dos vulnerabilidades clasificadas con un nivel de gravedad alto de 9.2 sobre 10 puntos, instando a los usuarios a prepararse para actualizaciones inmediatas.
Estas actualizaciones preventivas se producen tras la difusión de un vídeo que documenta una herramienta llamada PHP2Shell ejecutando código en servidores web, incluidas las versiones más recientes de WordPress, MediaWiki, Symfony y Drupal. La empresa de ciberseguridad watchTowr confirmó la existencia de la vulnerabilidad, que afecta a todas las versiones de PHP a partir de la quinta lanzada en 2004, lo que permite a los atacantes ejecutar su propio código y tomar potencialmente el control de los servidores afectados.
Debilidad en los certificados de cifrado digital TLS
En el mismo contexto, la infraestructura de internet se enfrenta a otra crisis relacionada con los certificados de cifrado digital (TLS). La empresa india eMudhra anunció el hackeo de ocho de sus certificados de autoridad subordinados, vinculados a raíces de confianza adoptadas por los principales navegadores como Mozilla, Microsoft, Apple y Chrome.
El riesgo principal radica en que las claves criptográficas privadas de los certificados vulnerados resultaron ser sumamente débiles, con longitudes de entre 3 y 8 bits en lugar del estándar habitual de 384 bits. Estas claves débiles permiten a los atacantes recuperar sus datos probando un número muy limitado de combinaciones, lo que les capacita para falsificar la acreditación de dominios, suplantar la identidad de los servidores e interceptar el tráfico de datos.
¿Qué cambia en la práctica para los usuarios y administradores de sitios web?
- Medidas de emergencia: Los administradores de sitios web y de sistemas de gestión de contenido se apresuraron a aplicar actualizaciones de software inmediatas, lo que podría causar interrupciones temporales en algunos sitios basados en PHP durante las tareas de mantenimiento.
- Acciones de los navegadores: Mozilla, Google y Apple han bloqueado los certificados vulnerados en sus navegadores; sin embargo, expertos en seguridad advirtieron que algunas herramientas del sistema operativo macOS siguen confiando en dichos certificados debido a que no verifican inmediatamente la información de revocación.
- Magnitud de los riesgos esperados: Los ingenieros en criptografía describieron esta crisis indicando que podría requerir labores de limpieza a gran escala que superen en volumen a la famosa vulnerabilidad Heartbleed surgida en 2014, concentrándose actualmente los mayores riesgos en redes VPN orientadas y dispositivos del internet de las cosas (IoT).