La Agencia de Ciberseguridad de Andorra alerta de los fallos críticos PHP2Shell

La Agència Nacional de Ciberseguretat d'Andorra (ANC-AD) y su equipo de respuesta a incidentes, CSIRT-AD, han emitido una alerta por dos vulnerabilidades críticas de PHP que podrían permitir a un atacante tomar el control de un servidor web sin usuario ni contraseña. La agencia insta a todas las organizaciones del país, sea cual sea su tamaño, a aplicar los parches de inmediato.

La divulgación se produce después de que el equipo de desarrollo de PHP publicara versiones corregidas el miércoles. Según El Periòdic, las correcciones de seguridad estaban previstas para el 22 de octubre, pero los detalles técnicos sobre los fallos se hicieron públicos antes de que los parches estuvieran listos, y varias firmas internacionales de ciberseguridad ya han registrado intentos de explotación.

La ANC-AD califica el alcance potencial de global, a la altura de otras vulnerabilidades de impacto masivo vistas en los últimos años. Los fallos afectan a cualquier instalación de PHP que sirva páginas web, independientemente de su configuración —incluidos PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed—, y todas las versiones desde PHP 5 en adelante pueden estar expuestas. PHP 8.1 y anteriores ya no reciben soporte oficial, lo que agrava el riesgo para los sistemas que no se han mantenido actualizados.

PHP sustenta muchos sistemas de gestión de contenidos y plataformas de comercio electrónico ampliamente utilizados, entre ellos WordPress, Joomla, Drupal, PrestaShop, WooCommerce y Magento, así como intranets, portales de clientes y aplicaciones a medida.

La ANC-AD señaló que el impacto podría ser especialmente significativo para el tejido empresarial andorrano, dominado por pequeñas y medianas empresas. Muchos comercios y establecimientos operan sitios web basados en PHP mantenidos por proveedores externos o alojados en servicios compartidos, donde la versión instalada no siempre está bajo su control directo. En organizaciones más grandes —entidades financieras, operadores de servicios esenciales y administraciones públicas—, el riesgo se centra en portales de clientes, aplicaciones internas expuestas a internet y plataformas de terceros que podrían servir como punto de entrada a las redes corporativas. Una sola plataforma vulnerable en un proveedor de alojamiento, servicios gestionados o desarrollo podría afectar a varios clientes a la vez, advirtió la agencia.

Su principal recomendación es actualizar PHP sin demora a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o aplicar los paquetes publicados por los distribuidores de sistemas operativos. Subrayó que cambiar la configuración por sí solo no es suficiente. Las organizaciones deben revisar todos los sistemas que utilizan PHP, priorizar los expuestos a internet y contactar con su proveedor de alojamiento o de mantenimiento web cuando el servidor no se gestiona internamente. Los sistemas que no puedan actualizarse con rapidez deberían aislarse o desconectarse temporalmente.

La ANC-AD también pidió a los operadores que comprueben si hay indicios de compromiso desde el 20 de octubre, como archivos PHP nuevos o modificados, usuarios administradores desconocidos, procesos o conexiones inusuales y registros de acceso anómalos. Los incidentes sospechosos deben comunicarse al CSIRT-AD, y cualquier brecha que afecte a datos personales debe notificarse a la Agència Andorrana de Protecció de Dades en un plazo de 72 horas desde que se tenga conocimiento de ella. La agencia afirmó que está monitorizando el incidente en coordinación con sus homólogos internacionales y que actualizará sus recomendaciones a medida que surja nueva información técnica.