¡Hoy no hemos capturado al capitán SPHParrow!

¿Qué pasó?

PHP es uno de los lenguajes de programación más antiguos de Internet. Se está utilizando desde el siglo XX y ha sido siempre muy popular. Por ello, se integró (y sigue integrado) en innumerables sitios web y aplicaciones. Muchos desarrolladores siguen utilizándolo para complementar código desarrollado en otros lenguajes, y el código fuente PHP se sigue reutilizando.

El 21 de octubre se publicó la vulnerabilidad PHP2Shell. Aunque en realidad se filtró antes de lo previsto. Puedes consultar los detalles técnicos aquí y aquí. Estas dos vulnerabilidades, que se han detectado mediante inteligencia artificial, permiten a un atacante tomar el control de sitios web que utilizan PHP o de software web basado en PHP, como Drupal, Joomla, MediaWiki, WordPress o similares. Una vez que tiene el control, el atacante puede robar datos, recopilar información personal y financiera (incluida información de pagos), utilizar la plataforma para atacar otros sitios web, distribuir malware o, simplemente, alterar la apariencia de la página web para dañar la reputación del sitio o de su propietario.

La difusión de la vulnerabilidad desencadenó un movimiento urgente a nivel mundial para proteger los servicios vulnerables. Mientras actores malintencionados aprovechaban para identificar y atacar servidores vulnerables, las autoridades lanzaban comunicaciones conjuntas para alertar sobre PHP2shell a las empresas, los organismos públicos, los gobiernos y los ciudadanos. Los medios de comunicación y las redes sociales ardían con artículos, publicaciones, opiniones y análisis técnicos. Muchos CISOs (¡lo prometo!) pararon las máquinas para centrarse en la solución del problema. En ese momento, sólo existía única solución técnica para PHPv8, la última versión. Así que muchos sitios web simplemente se pararon, a la espera de una solución técnica adecuada. 

En definitiva, mucha actividad, mucho debate y, sobre todo, un claro impacto en el negocio.

Las malas noticias sobre PHP2shell

La consecuencia más evidente del incidente ha sido su impacto en el negocio.

En el mejor de los casos, los sitios web y los servicios empresariales vulnerables han necesitado algunas horas para instalar parches y actualizaciones, pero ya han reanudado su actividad con un impacto mínimo. Numerosas páginas web siguen sin estar disponibles. Algunas tardarán semanas en volver a la normalidad, porque quizás tengan que reprogramar el software que depende de PHP, o hacer cambios más profundos. Para muchos usuarios, los apagados preventivos de webs alteró su jornada laboral. Pero también implica servicios web habituales que no están disponibles, transacciones retrasadas o inviables, procesos internos que no funcionan y, quizás, tener que volver a trabajar en papel.

También hay un coste menos tangible: la confianza. Cuando desaparecen los servicios TI que usamos habitualmente por fallos en una tecnología que ha estado ahí durante décadas, es comprensible que la gente se pregunte hasta qué punto se puede fiar de los servicios e infraestructuras digitales. Y es posible que se muestren reacios a adoptar nuevos servicios que usen esas tecnologías. No podemos culpar a los que desconfíen cuando encuentran motivos para pensar «Vaya, esto tiene buena pinta, pero puede caerse en cualquier momento».

Por supuesto, no podemos olvidarnos de las webs que fueron atacadas con éxito. Aunque existen informes de ataques exitosos de PHP2shell, no son públicos y ninguna empresa ha revelado haber sido víctima de una intrusión de este tipo . En cualquier caso, les deseamos lo mejor. Y os ofrecemos nuestra ayuda si estas en ese escenario.

Las buenas noticias

Pero no me quiero quedar solo con lo malo. Creo que hay por lo menos tres buenas noticias que salen de este lío.

Primero, ya conocemos una grave deficiencia y como subsanarla. El peligro subyacente ya estaba antes de que saliera la noticia; haberlo descubierto ahora nos permite tomar medidas antes de que los atacantes puedan aprovecharlo a su gusto. Aunque los parches se hayan publicado casi de emergencia, nos dan una solución para las versiones de PHP compatibles y las organizaciones puede aplicar un plan de acción concreto, en lugar de tener a un fallo inexplicable que no saben solucionar. Podemos empezar ya a hacer este trabajo antes de que la situación empeore.

En segundo lugar, los investigadores en materia de seguridad utilizaron la inteligencia artificial para identificar esta vulnerabilidad. La IA ha demostrado una capacidad útil para las acciones defensivas, detectando puntos débiles que son difícil de detectar con técnicas convencionales. Esto no significa que la IA o sus resultados sean universalmente fiables o predecibles; seguimos necesitando investigadores con experiencia para evaluar y verificar los hallazgos, y procesos de comunicación consolidados que aseguren que «los buenos» conocemos los problemas y sus soluciones antes que «los malos». Pero sí que pone de manifiesto por qué una IA supervisada cuidadosamente puede reforzar la seguridad: podemos (volver a) revisar nuestro software. Y los problemas que antes se subestimaban pueden convertirse en hallazgos sobre los que actuar y, así, solucionarse.

En tercer lugar, los profesionales de la seguridad llevan mucho tiempo con una frustración habitual: identifican los riesgos, los comunican a la dirección, pero después tienen dificultades para conseguir la atención ¡y los recursos! necesarios para abordarlos. Muchos directivos no suelen estar al tanto del estado de la ciberseguridad de su organización. Pero en PHP2shell ha ocurrido otro escenario. Fueron los directivos quienes exigieron soluciones urgentes y supervisaron su implantación. Incluso cuando esas exigencias eran excesivas o fijaban plazos poco realistas, ese nivel de compromiso ha sido una agradable novedad. Puede que haya sido impulsado por la gran repercusión pública del incidente, pero también representa un objetivo que los profesionales de la ciberseguridad persiguen desde hace tiempo: la participación y el apoyo activos de la dirección, junto con la autoridad, los recursos y el tiempo necesarios para proteger los servicios de forma eficaz.

¿Qué viene ahora?

Es poco probable que este episodio de PHP2Shell sea el último.

Los profesionales de la ciberseguridad reconocen que es probable que las iniciativas de investigación de vulnerabilidades asistidas por IA, como Mythos, encuentren a corto plazo nuevas y graves debilidades en otras tecnologías de uso generalizado.

No descartamos que la estrategia actual de aplicación de parches y gestión de vulnerabilidades no sea capaz de hacer frente un aumento brusco del volumen de problemas recién descubiertos. Y que tengan que evolucionar hacia estrategias de respuesta más ágiles y adaptadas al ritmo de la inteligencia artificial.

Es preferible mejorar nuestra preparación mediante la investigación de vulnerabilidades y desarrollar capacidades de respuesta ante incidentes planificadas y cada vez más autónomas, que descubrir una vulnerabilidad crítica a raíz de un ataque destructivo sin tener opción a aplicar una solución. Debemos también prepararlos planes de resiliencia digital y de continuidad de negocio y tenerlos listos para su activación.

Tener apoyo especializado en ciberseguridad y resiliencia digital ya no es opcional. Consíguelo antes de que sea tarde.

Autor: Mariano Benito