Las vulnerabilidades de PHP pusieron en riesgo alrededor de 70% de las plataformas web en el mundo que utilizan este lenguaje de programación. Eli Faskha, CEO de Soluciones Seguras, advierte sobre la urgencia de separar redes y actualizar servidores.
La detección de dos fallos graves en el lenguaje de programación PHP encendió las alarmas a nivel global la semana pasada, ante la vulnerabilidad en que quedaron varios sectores, incluyendo las reservas en los aeropuertos, el turismo y las cadenas de suministro.
Desde que se liberaron los parches oficiales el pasado 21 de octubre para solventar las fallas , equipos de inteligencia han registrado un incremento severo en los intentos de ataque activo y escaneos automatizados a nivel global.
Las vulnerabilidades identificadas permiten a atacantes remotos ejecutar código no autorizado en los servidores sin necesidad de autenticarse, además de realizar lecturas arbitrarias de la memoria del servidor para extraer tokens de acceso, llaves criptográficas y contraseñas almacenadas.
Eli Faskha, CEO de Soluciones Seguras, explicó a Informe Aéreo cómo las fallas pueden afectar sectores sensibles a nivel global.
Ante las alertas de esta semana por las vulnerabilidades en PHP, ¿qué riesgos enfrenta una organización cuando sus sistemas de seguridad son débiles?
Lo de esta semana es serio, algo que hace tiempo no se veía. Las fallas conocidas como “PHP2Shell” permiten que un atacante, sin usuario ni contraseña, ejecute código en el servidor.
PHP es un lenguaje de programación que usan casi el 70% de los sitios web, incluyendo WordPress, Drupal y Joomla. Además, una de las fallas permite leer la memoria del servidor y extraer contraseñas, tokens y llaves de acceso. Ya se reportan ataques activos desde que salieron los parches el 21 de octubre.
En una organización donde no hay separación entre los servidores, o donde el sitio web tiene información sensitiva, le permite al atacante llegar a lo más valioso: bases de datos, correo, sistemas de pago.
Las consecuencias son robo de información, ransomware, fraude y la pérdida de confianza, que tal vez es lo más importante.
¿Qué características debe tener una contraseña realmente segura y cuáles son los errores más frecuentes?
Lastimosamente, para PHP2Shell la contraseña no importa. La vulnerabilidad se salta todo el código del sitio web y ataca el lenguaje mismo. Pero si hablamos de contraseñas seguras, deben ser largas (12-16 caracteres) y únicas para cada servicio.
Los errores más comunes son usar datos personales como fechas, nombres de hijos o del equipo de fútbol, cambiar un número al final (“Panama2025”, “Panama2026”), anotarlas en un archivo de Excel, compartirlas por WhatsApp o repetir la misma clave en todas partes.
¿Qué tan peligroso es usar la misma contraseña en correo, banca, redes sociales y
trabajo?
Es como tener una sola llave para tu casa, tu carro, tu oficina y tu caja fuerte. Si la pierdes una vez, lo pierdes todo. Los atacantes toman contraseñas filtradas de un sitio y las prueban de forma automática en cientos de servicios. A esa técnica se le llama “credential stuffing”, y funciona porque la gente reutiliza sus claves, aun cuando sean claves seguras.
¿Qué herramientas recomienda y qué papel juegan los administradores de contraseñas y el MFA?
Recomiendo un administrador de contraseñas reconocido, como Roboform, 1Password o los integrados Apple, Google o Microsoft. El administrador genera claves largas y únicas, y tú solo recuerdas una contraseña maestra robusta.
El MFA, o doble factor, es algo adicional a la contraseña (un código, tu huella digital, tu cara, etc.). Aunque roben tu contraseña, el atacante necesita algo que solo tú tienes. El MFA bloquea la gran mayoría de los ataques de toma de cuentas. Si hay que hacer una sola cosa hoy, que sea activarlo en el correo y en la banca.
¿Qué medidas deben implementar empresas e instituciones públicas para proteger las cuentas de sus colaboradores?
Lo más importante es el doble factor de autenticación obligatorio para todos, sin excepciones, empezando por los administradores y los accesos remotos.
Adicionalmente, el principio de mínimo privilegio: cada persona tiene los permisos para hacer solo lo que necesita para su trabajo. También hay que tener un monitoreo continuo de lo que ocurre. Por ejemplo, un usuario que se conecta desde Panamá y a los diez minutos desde otro continente, eso es una alerta.
Cuando se descubre una vulnerabilidad en una tecnología masiva como PHP, ¿que deben hacer las organizaciones? ¿Basta con contraseñas robustas?
No, no basta. Este caso lo demuestra: la falla permite leer la memoria del servidor extraer las contraseñas, por fuertes que sean. Una contraseña robusta no protege si el servidor que la guarda está comprometido.
Lo que hay que hacer es saber dónde están usando PHP y actualizarlo a una versión corregida. También activar las reglas en los sistemas de protección web. Si no parchó rápidamente, es recomendable cambiar todas las contraseñas que tenía.
¿Qué consecuencias podría tener la explotación de vulnerabilidades para aerolíneas, aeropuertos, logística, puertos, hoteles y agencias de viaje?
Este sector es atractivo para los atacantes porque tiene datos personales, pagos de alto valor y operaciones que no pueden detenerse. Todo eso es altamente valioso, y muchos de los sitios web corren PHP.
Las consecuencias pueden ir desde el robo de datos y el fraude con tarjetas robadas hasta sitios web caídos y daños a la reputación. Un ataque en Panamá puede afectar cadenas de suministro regionales completas, como pasó brevemente después del terremoto que sufrió el país.
¿Cómo podría un ataque afectar la continuidad de las operaciones y qué medidas preventivas deben priorizar estas industrias?
El riesgo aquí es que las operaciones no pueden continuar porque los sitios web están caídos. Los aeropuertos tendrían que hacer cobros manuales y check-in en papel, habría vuelos retrasados y los hoteles no podrían emitir llaves. Cualquier interrupción impacta los negocios y las personas.
Un pasajero varado pierde la confianza rápidamente. Se deben tomar medidas para evitar que un ataque paralice todo:
- Separar las redes, para que una infección no contamine al resto de la empresa
- Actualizar los parches rápidamente y dando prioridad a lo más expuesto
- Tener respaldos probados y separados de la red
- Tener un plan de continuidad ensayado y que todo el personal conozca
