Centro vinculado al FSB pide a la infraestructura crítica restringir sitios por fallos de PHP
En breve
El Centro Nacional de Coordinación en Incidentes Informáticos (NKCKI), que opera bajo el FSB, pidió el 22 de octubre a los operadores de infraestructura crítica de información que instalen la versión corregida de PHP. Si no pueden hacerlo rápidamente, deben considerar restringir el acceso externo a los servidores web vulnerables, hasta apagarlos. La orden sigue a dos vulnerabilidades críticas de PHP con calificación de 9,2 sobre 10, una de ellas descubierta con ayuda de inteligencia artificial.
Leer la noticia completa 2 min de lectura
El Centro Nacional de Coordinación en Incidentes Informáticos (NKCKI), que opera bajo el FSB, ha ordenado a las organizaciones rusas que operan infraestructura crítica de información que restrinjan temporalmente el acceso a sitios web vulnerables si no pueden actualizar PHP con rapidez. iXBT informó de que los propietarios de estos sistemas recibieron una carta fechada el 22 de octubre. El documento abarca organismos estatales, organizaciones financieras, empresas energéticas y de transporte, instituciones médicas y otras instalaciones críticas. RBC informó primero de la carta el 22 de octubre, y Habr News dijo que tres organizaciones destinatarias habían confirmado su autenticidad ante RBC. [ 1 , 2 , 4 ]
Según iXBT, el NKCKI exige a los destinatarios que instalen la versión corregida de PHP, que analicen los servidores con software antivirus y que revisen los registros de eventos en busca de indicios de compromiso. Cuando el software no pueda actualizarse rápidamente, las organizaciones deben considerar restringir el acceso externo a los servidores web vulnerables, hasta desconectarlos por completo. Los incidentes sospechosos deben notificarse a GosSOPKA, el sistema estatal de lucha contra los ciberataques, a través del cual se distribuyó la directiva, según Kommersant y Habr News. El resumen de TASS dice que el NKCKI aconseja actualizar primero PHP a las versiones más recientes en las que se corrigen las vulnerabilidades. [ 2 , 3 , 4 , 5 ]
La causa son dos vulnerabilidades críticas de PHP, una de las cuales fue descubierta con ayuda de inteligencia artificial, escribió iXBT. Permiten a los atacantes atacar sitios de forma remota, tomar el control de un servidor y extraer datos confidenciales de su memoria, incluidas contraseñas y claves criptográficas. Los fallos tienen una calificación de gravedad de 9,2 sobre 10. Kommersant dijo que los desarrolladores informaron del hallazgo asistido por IA el 20 de octubre y anunciaron una actualización correctora al día siguiente; iXBT dijo que se publicaron actualizaciones de emergencia para ambos problemas el 21 de octubre. [ 2 , 3 ]
iXBT citó datos de W3Techs según los cuales PHP se usa en el 90,8% de los sitios en ruso y en el 69,3% de todos los sitios del mundo. Añadió que actualizar WordPress, Drupal o Joomla no soluciona el problema por sí solo, porque las vulnerabilidades afectan al propio PHP. Kommersant dijo que más del 90% de los sitios en ruso funcionan con PHP, lo que, según afirmó, pone en riesgo decenas o cientos de miles de recursos del Runet. [ 2 , 3 ]
El resumen de RBC decía que muchos sitios habían sido desactivados en todo el mundo por las vulnerabilidades. iXBT dijo que autoridades y especialistas en ciberseguridad de varios países instaron a los propietarios de sitios a instalar las correcciones y, si fuera necesario, a desactivar temporalmente los sitios, y que algunos organismos y organizaciones gubernamentales de Europa y Japón ya habían restringido el acceso a sus recursos. Habr News dijo que centros de ciberseguridad de otros países emitieron recomendaciones similares, pero que en Rusia la instrucción sobre un software concreto procede directamente de una estructura del FSB. [ 1 , 2 , 4 ]
Por qué importa
PHP se usa en el 90,8% de los sitios en ruso y en el 69,3% de todos los sitios, según cifras de W3Techs citadas por iXBT, por lo que los fallos afectan a un número muy grande de sitios. Habr News señaló que la instrucción sobre un software concreto procede directamente de una estructura del FSB y dijo que centros de otros países emitieron recomendaciones similares.
Datos clave
- El NKCKI, que opera bajo el FSB, envió una carta fechada el 22 de octubre a los propietarios de infraestructura crítica de información, que incluye organismos estatales, organizaciones financieras, energéticas, de transporte y médicas, entre otras. [ 2 , 3 , 4 ]
- La carta pide a los destinatarios que instalen la versión corregida de PHP, que analicen los servidores con antivirus y que revisen los registros en busca de posibles compromisos. [ 2 , 3 , 4 ]
- Si PHP no puede actualizarse rápidamente, los destinatarios deben restringir el acceso externo a los servidores web vulnerables o desconectarlos por completo. [ 2 , 3 , 4 ]
- Los incidentes sospechosos deben notificarse a GosSOPKA, el sistema estatal de lucha contra los ciberataques. [ 2 , 4 ]
- Dos vulnerabilidades críticas de PHP, con calificación de 9,2 sobre 10, permiten ataques remotos contra sitios y el control del servidor. [ 2 , 3 ]
- Los desarrolladores anunciaron el hallazgo asistido por IA el 20 de octubre y publicaron actualizaciones de emergencia el 21 de octubre. [ 2 , 3 ]
- Los datos de W3Techs citados por iXBT sitúan el uso de PHP en el 90,8% de los sitios en ruso y en el 69,3% de todos los sitios del mundo. [ 2 ]
Confirmado por varias fuentes
- El NKCKI del FSB instruyó a los operadores de infraestructura crítica a actualizar PHP y, cuando eso no sea posible con rapidez, a restringir el acceso externo a los servidores web vulnerables o apagarlos. [ 1 , 2 , 3 , 4 , 5 ]
- La instrucción se motivó por dos vulnerabilidades críticas de PHP con calificación de 9,2 sobre 10. [ 2 , 3 ]
- La carta se distribuyó a través del sistema GosSOPKA y pide a los destinatarios que analicen los servidores con antivirus. [ 3 , 4 ]
Aún sin aclarar
- Si la carta ordena un apagado o solo pide a los destinatarios que consideren restringir el acceso. El resumen de RBC dice que los sitios deben desactivarse temporalmente, mientras que iXBT y Habr News dicen que las organizaciones deben considerar restringir el acceso hasta un apagado completo.
- Autenticidad de la carta. Habr News dice que tres organizaciones destinatarias la confirmaron ante RBC; los demás documentos no lo mencionan.
- Cuántos sitios rusos están realmente en riesgo o han sido desconectados. Kommersant dice que decenas o cientos de miles de recursos del Runet están amenazados, pero ningún documento da una cifra de sitios rusos afectados o desactivados.
Qué dicen los medios locales
Cronología, hora local
- RBC publica el informe sobre la instrucción del NKCKI (22 de octubre). [ 1 ]
- iXBT publica detalles de la carta fechada el 22 de octubre. [ 2 ]
- Kommersant retoma el informe de RBC (23 de octubre). [ 3 ]
- Habr News publica su informe (23 de octubre). [ 4 ]
- TASS publica las recomendaciones del NKCKI (23 de octubre). [ 5 ]