Hallada una grave vulnerabilidad en PHP; se publica un parche mientras empresas y organismos japoneses suspenden servicios

El IPA, que depende del Ministerio de Economía, Comercio e Industria, anunció el 21 de octubre que se habían hallado vulnerabilidades graves en PHP, un lenguaje de programación utilizado en páginas web. Pidió a las empresas y otras entidades responder con rapidez aplicando la corrección. Sankei informó de que el organismo responsable de PHP anunció que distribuiría una corrección a las 23:00 hora de Japón del día 21, y Yomiuri dijo que el equipo de desarrollo la publicó alrededor de esa hora. ITmedia indicó que el parche se publicó en el sitio web tarde el 21 de octubre. [ 2 , 3 , 4 , 5 , 6 ]

Según Jiji Press, el equipo de desarrollo afirmó que había dos vulnerabilidades, ambas relacionadas con la forma en que el programa usa la memoria. Si se explotaran, un atacante podría ejecutar programas arbitrarios de forma remota y tomar el control de un sitio. Tanto Jiji como Yomiuri indicaron que los fallos fueron calificados como "críticos", el nivel más alto en una escala internacional de gravedad. Jiji añadió que un equipo de seguridad de Google, que ayudó a encontrar los fallos, los calificó de una de las vulnerabilidades más graves de la historia del software. Sin embargo, Sankei informó de que el operador no había publicado detalles. [ 2 , 5 , 7 ]

Según W3Techs, un servicio europeo de encuestas sobre tecnologías web citado por Yomiuri, PHP se utiliza en alrededor del 70% de los sitios web del mundo. Yahoo! News Japan citó una cifra del 69,3% de un organismo de investigación europeo. Jiji indicó que PHP se ofrece como código abierto y sustenta el software de Wikipedia y de la herramienta de creación de sitios WordPress. Sankei lo describió como un ejemplo destacado de scripting del lado del servidor, que también se usa en aplicaciones que gestionan bases de datos de servidores. [ 2 , 4 , 5 , 7 ]

La Oficina Nacional de Ciberseguridad publicó en X un llamamiento a responder con rapidez aplicando la corrección, y advirtió de que, sin medidas adecuadas, los sitios podrían verse comprometidos. Yahoo! News Japan citó un comentario de un desarrollador en la web según el cual actualizar es la única opción segura. La primera ministra Sanae Takaichi publicó en X que, si responder resulta difícil, suspender temporalmente un sitio web se considera una opción eficaz para reducir el riesgo. [ 3 , 4 , 5 ]

Organizaciones de Japón suspendieron algunos servicios. Yomiuri informó de que el Ministerio de Finanzas suspendió temporalmente parte de sus contenidos y servicios web para comprobaciones de emergencia y aplicación de parches, de que Mizuho Bank suspendió su servicio de reserva de visitas a tiendas en línea, y de que Rakuten Group realizó un mantenimiento de emergencia en algunas páginas de Rakuten Ichiba. Sankei informó de que la tienda en línea BASE realizó un mantenimiento de emergencia como precaución, y de que la Universidad de Estudios Extranjeros de Tokio dijo que revisaría sus servidores web. Nishi-Nippon Shimbun señaló que bancos y otras entidades suspendieron algunos servicios por el riesgo de ciberataques. [ 2 , 3 , 5 ]