El apaño provisional para el fallo de PHP no basta

Seguimiento de PHP publica hoy un parche de seguridad crítico, publicada el 21 de octubre.

Como contamos esta mañana, PHP publica hoy a las 14:00 UTC (las 16:00 en la España peninsular) una actualización de seguridad crítica. Ahora hay más detalles, y no son tranquilizadores: el ajuste de configuración que circulaba como solución provisional no basta por sí solo. Lo reconoce la propia empresa de seguridad que lo propuso, según recoge The Hacker News.

Qué se sabe ya

La actualización corrige dos fallos que ya tienen nombre, PHP2Shell, y que permiten la ejecución remota de código. Es decir, que alguien desde fuera podría llegar a ejecutar lo que quiera en el servidor afectado. El propio proyecto PHP los califica con un 9,2 sobre 10 de gravedad.

Según The Hacker News, antes del parche no hay forma de bloquear del todo estos dos fallos. Y el equipo de PHP no ha ofrecido ninguna medida provisional propia, así que lo único oficial es la actualización de esta tarde.

El remedio que no remedia

En las últimas horas se ha ido compartiendo un ajuste de configuración como forma de protegerse mientras llega el parche. La empresa de seguridad que lo sugirió dice ahora que, solo, no es suficiente. El material disponible no detalla qué ajuste es, qué empresa lo propuso ni qué otras medidas reducen de verdad el riesgo, así que conviene no fiarse de recetas que corran por redes y foros sin una fuente clara detrás.

Tampoco se ha concretado todavía qué versiones del lenguaje están afectadas.

Qué hacer

Lo que no cambia respecto a esta mañana es el plan: tener localizadas las versiones de PHP en uso y de dónde llegan (distribución, repositorio externo, contenedor o proveedor de alojamiento), hacer copia de seguridad y reservar tiempo para actualizar y reiniciar los servicios en cuanto el parche esté disponible. Un ajuste de configuración puede ayudar a ganar tiempo, pero no sustituye a la actualización.

Quien tenga su web en un alojamiento compartido depende de su proveedor. Si a lo largo de la tarde no hay noticias, toca preguntar.

Fuente: The Hacker News