Semáforo UOL: Requiere acción
La falla de PHP obligó a bajar portales del Estado y dejó miles de servidores uruguayos expuestos; le explicamos qué revisar si su sitio lo mantiene un tercero.
La falla de PHP conocida como PHP2Shell ya tiene impacto en Uruguay. Entre la tarde del miércoles 21 y la mañana del jueves 22 de octubre, los portales de Desarrollo Social, de Turismo y de Transporte y Obras Públicas, que forman parte de gub.uy, mostraron una página de mantenimiento, en la mayoría de los casos durante algunas horas, según informó El Observador. Agesic y el CERTuy los retiraron de forma preventiva, antes de que pudieran ser atacados. El detalle técnico (versiones afectadas y corregidas, y cómo ver la de su sitio) lo publicamos ayer en Vulnerabilidades en PHP: cómo saber si su sitio está expuesto.
Qué pasó con los portales del Estado
Los sitios de gub.uy están construidos con Drupal, que funciona sobre PHP. La directora ejecutiva de Agesic, Cristina Zubillaga, dijo que los portales volverían «con el PHP actualizado». Según la agencia, el plazo para que queden plenamente restablecidos es «a más tardar el viernes» 23 de octubre. Al cierre de esta nota no encontramos un comunicado de Agesic que confirme el restablecimiento completo, por lo que corresponde tomarlo como el plazo anunciado.
El CERTuy, centro nacional de respuesta a incidentes informáticos, publicó su alerta el 21 de octubre. En ella pide verificar las versiones de PHP instaladas, aplicar la actualización correspondiente, identificar los servidores y aplicaciones vulnerables y vigilar si aparecen procesos inesperados o cambios de archivos no autorizados. Para quien no pueda actualizar enseguida, sugiere limitar el acceso a redes o direcciones de confianza y evitar la exposición directa a internet, pero aclara que eso reduce el riesgo sin eliminarlo. Entre las aplicaciones que pueden verse afectadas menciona a WordPress, Drupal, Joomla y Moodle.
Por qué importa en Uruguay
No existe una cifra oficial de cuántos sitios uruguayos son realmente explotables. Las estimaciones disponibles provienen de especialistas privados y miden versiones declaradas, no ataques:
- Richard Pérez, con herramientas de rastreo como Shodan y Censys, detectó unos 1.500 servidores con versiones vulnerables de PHP, y cerca de 3.000 servicios si se suman los dominios .uy.
- Team Capybara revisó más de 15.400 servidores web visibles desde internet y, en un primer rastreo, encontró entre 3.500 y 4.200 vulnerables, a partir de la versión de PHP que declara cada uno y de los programas que usa.
Hasta ahora no hay ataques confirmados en el país y el CERTuy tampoco los registró, aunque Team Capybara observó rastreos automáticos desde todo el mundo. Entre los grupos más expuestos, ese equipo señaló a las tiendas en línea y las pymes, además de sistemas viejos hechos a medida, como programas de facturación.
El punto más delicado para muchas empresas es otro: según El Observador, hay sitios tercerizados cuyo contrato de mantenimiento venció hace años y que no tienen un responsable claro de actualizarlos. Un sitio así puede funcionar con normalidad sobre una versión vulnerable.
Qué puede hacer su empresa
Un ejemplo hipotético: un comercio de Montevideo encargó su tienda en línea a un desarrollador en 2021, pagó un año de mantenimiento y no lo renovó. Nadie revisa el servidor desde entonces, así que pedir la actualización queda en manos del propio comercio.
Para ordenar el pedido a su proveedor:
- Confirme quién tiene hoy el acceso al hosting y al panel del sitio, y si su contrato de mantenimiento sigue vigente.
- Pida por escrito que le informen qué versión de PHP usa su sitio y si ya se aplicó la actualización que recomienda el CERTuy.
- Si la versión es antigua y sin mantenimiento, pregunte qué plugins, temas o funciones hay que revisar antes de actualizar y cuánto lleva el trabajo, porque el cambio puede romper partes del sitio.
- Exija una copia de seguridad completa antes de cualquier cambio.
- Si la actualización va a demorar, pida que se apliquen las medidas provisorias que menciona el CERTuy y que se vigile el servidor.
- Si sospecha un incidente, puede reportarlo al CERTuy por el teléfono (+598) 150 2378, que atiende las 24 horas.
Atención a la fecha: Agesic fijó el viernes 23 de octubre como plazo para restablecer los portales del Estado; para su propio sitio, el CERTuy recomienda actualizar sin esperar.
Fuentes:
- El Observador: Sitios del Estado caídos y miles de servidores expuestos
- El Observador: Sitios web del Estado quedarán restablecidos antes del fin de semana, según Agesic
- CERTuy: Vulnerabilidades críticas en PHP
- UOL: Vulnerabilidades en PHP, cómo saber si su sitio está expuesto
Por Diego Pereira
Deje una respuesta