Los usuarios de internet siguen expuestos a ciberataques que explotan vulnerabilidades de PHP, particularmente a través de sitios más pequeños que podrían tardar semanas en instalar la actualización publicada el miércoles pasado, según Mitchell Amador, CEO de la plataforma de bug bounty Immunefi.

"Este es el apocalipsis de vulnerabilidades" que avanza según lo previsto, en el que encontrar vulnerabilidades se ha vuelto barato mientras que corregirlas sigue siendo costoso, dijo Amador a Cointelegraph.

"Durante las próximas semanas, traten cualquier sitio en el que inicien sesión como si ya pudiera estar comprometido", dijo Amador. Advirtió a los usuarios no reutilizar contraseñas y tener precaución al conectar sus billeteras de criptomonedas a sitios web. También instó a los usuarios a revocar cualquier aprobación de tokens no reconocida: permisos permanentes que permiten a contratos de terceros extraer fondos de una billetera conectada hasta que se revoquen explícitamente.

Los comentarios de Amador se produjeron casi una semana después de que la Fundación PHP reconociera que había retrasado la corrección de una falla de seguridad crítica identificada por primera vez en 2024 debido a la escasez de recursos. Los desarrolladores de PHP publicaron parches de emergencia para dos vulnerabilidades críticas el mismo día, pero cada sitio web aún debe instalar las actualizaciones por su cuenta. Debido a que PHP se ejecuta en el servidor de cada sitio, los parches no ofrecen protección hasta que el operador los aplique.

En una entrevista publicada por Cointelegraph en junio, Amador afirmó que la proliferación de modelos de inteligencia artificial de frontera había modificado el panorama de la ciberseguridad a favor de los atacantes. Vinculó ese cambio con un "apocalipsis de vulnerabilidades" y un resurgimiento de los ataques a las finanzas descentralizadas (DeFi).

Porcentaje de programas con una vulnerabilidad crítica confirmada según el tiempo en línea. Fuente: Immunefi.

Immunefi se describe a sí misma como la plataforma de bug bounty más grande del mundo. Según su sitio web, la compañía ha pagado 140 millones de dólares en recompensas en 650 protocolos hasta la fecha.

La falla de PHP atrajo millones de intentos de explotación en cuestión de horas

El CEO de Cloudflare, Matthew Prince, afirmó que la red registró millones de intentos de explotación durante las 24 horas posteriores a la revelación pública de las vulnerabilidades de PHP, además de miles de intentos antes de su divulgación. Lo manifestó en una publicación del jueves en X.

Alrededor de uno de cada cinco sitios web en el mundo enruta su tráfico a través de Cloudflare, según la empresa de infraestructura de internet, que ayuda a que los sitios carguen más rápido y protege a los usuarios de amenazas cibernéticas.

El servicio de investigación W3Techs estima que PHP impulsa aproximadamente el 69% de los sitios web con un lenguaje de programación del lado del servidor conocido. Las vulnerabilidades podrían permitir a los atacantes distribuir malware o inyectar scripts maliciosos en sitios web de todo el mundo.

La División Cibernética del FBI también advirtió que las vulnerabilidades podrían permitir a actores maliciosos "ejecutar código de forma remota en el núcleo de PHP, comprometiendo potencialmente datos y redes sensibles", según una publicación del miércoles en X. La ejecución remota de código se considera una de las clases más graves de vulnerabilidades web, ya que una explotación exitosa puede otorgar a un atacante el control directo del servidor afectado.