Los administradores que intentan corregir dos vulnerabilidades críticas de PHP afrontan un detalle inquietante: los intentos de explotación parecen haber comenzado antes de que los fallos se hicieran públicos.
Amazon Web Services detectó un ataque fechado el 17 de octubre al revisar la actividad de un sistema expuesto a internet y configurado deliberadamente con vulnerabilidades. Los parches públicos para las vulnerabilidades, denominadas colectivamente PHP2Shell, se publicaron el 21 de octubre.
Actividad previa a la divulgación
Los honeypots son sistemas configurados para parecer vulnerables y permitir que los defensores observen técnicas de ataque. Según AWS, el intento del 17 de octubre procedía de una dirección IP asociada a una red comercial de anonimización, como un proxy o una VPN.
AWS no pudo determinar cómo obtuvo el atacante información sobre las vulnerabilidades antes de la divulgación.
La explotación se amplía
Tras la publicación de las correcciones comenzaron a aparecer exploits públicos de prueba de concepto. AWS afirma que algunos surgieron horas antes de la divulgación pública prevista.
La empresa considera que PHP2Shell ya se explota ampliamente en internet, aunque su análisis técnico continúa.
Qué establece el hallazgo
La evidencia no identifica al responsable de la actividad del 17 de octubre, ni confirma que un exploit tuviera éxito o cómo se obtuvo la información. Sí confirma que AWS registró un intento contra un honeypot antes de la revelación pública.
Los equipos de seguridad deben identificar las implementaciones PHP afectadas, aplicar las correcciones e investigar señales de explotación.
Una lección sobre la urgencia de parchear
La divulgación pública no marca el inicio del riesgo; a menudo marca el momento en que el riesgo se vuelve visible para más defensores y atacantes. Los informes sobre PHP2Shell muestran que la explotación puede comenzar antes.
AWS dice que la explotación ya es generalizada, por lo que parchear e investigar son las prioridades inmediatas.
Este artículo se basa en un reportaje de Wired. Leer el artículo original.
Originally published on wired.com