PHP publica hoy un parche de seguridad crítico

El equipo de seguridad de PHP ha avisado de que hoy, miércoles 21 de octubre, a las 14:00 UTC (las 16:00 en la España peninsular y las 15:00 en Canarias), publicará una actualización de seguridad importante. Así lo recoge LWN.net, que la describe como una actualización «de alto riesgo». El mensaje del propio equipo es claro: «Se anima a todos los usuarios de PHP a prepararse ya para poder actualizar en cuanto la versión esté disponible».

LWN lo resume en una frase: cualquiera que tenga un sitio en PHP probablemente necesite estar preparado para esta.

Lo que se sabe y lo que no

Por ahora el aviso no da detalles. Según el material publicado, el equipo de PHP no ha concretado qué fallo corrige la actualización, qué versiones del lenguaje están afectadas ni qué gravedad tiene exactamente más allá de calificarla de crítica. Es habitual que estos detalles se reserven hasta que el parche esté disponible, precisamente para no dar pistas a quien quiera aprovechar el fallo antes de tiempo.

Lo que sí se sabe es la hora, y eso ya permite organizarse. PHP sigue estando detrás de una parte enorme de la web: gestores de contenidos como WordPress, nubes autoalojadas como Nextcloud, foros, tiendas y paneles de administración. Si administras algo de esto, el aviso va contigo.

Cómo prepararse esta tarde

No hace falta esperar a las 14:00 UTC para ponerse manos a la obra. Algunas tareas que se pueden adelantar:

• Saber qué versión tienes. En el servidor, php -v muestra la versión que usa la línea de órdenes; la que sirve las páginas puede ser distinta si hay varias instaladas o si se usa PHP-FPM.
• Saber de dónde viene tu PHP. No es lo mismo usar los paquetes de tu distribución, un repositorio externo, una imagen de contenedor o el PHP que te da el proveedor de alojamiento. Cada vía recibe la actualización por su lado y a su ritmo.
• Hacer copia de seguridad de los archivos y de la base de datos antes de tocar nada.
• Reservar un rato para aplicar la actualización y reiniciar los servicios que usen PHP (el servidor web o PHP-FPM, según el caso).
• Comprobar después que el sitio sigue funcionando y que la versión en uso es ya la corregida.

Si no controlas el servidor

Quien tiene la web en un alojamiento compartido o gestionado no suele poder actualizar PHP por su cuenta. En ese caso, lo razonable es estar atento a los avisos del proveedor y, si no dice nada, preguntarle directamente cuándo piensa aplicar el parche.

Para quienes se autoalojan, este tipo de avisos son el recordatorio de que tener el control de tu infraestructura también implica mantenerla. Es el precio de no depender de nadie, y una actualización hecha a tiempo suele ser mucho más barata que limpiar un servidor comprometido.

Cuando el equipo de PHP publique los detalles del fallo y las versiones corregidas, conviene revisarlos para confirmar que la instalación propia queda cubierta.

Fuente: LWN.net