L’Agència Nacional de Ciberseguretat (ANC-AD) i el seu equip de resposta a incidents, CSIRT-AD, han emès una alerta arran de la publicació de dues vulnerabilitats crítiques en el llenguatge de programació PHP que permetrien prendre el control d’un servidor web sense necessitat d’utilitzar un usuari ni una contrasenya. PHP és la tecnologia que hi ha darrere de moltes pàgines web del món, així com de gestors de continguts, botigues en línia d’ús molt estès, nombroses intranets, portals de clients i aplicacions de gestió desenvolupades a mida. D’aquesta manera, l’ANC-AD considera que l’abast potencial d’aquest incident és global i equiparable al d’altres vulnerabilitats d’impacte massiu dels darrers anys.
Els detalls d’aquestes vulnerabilitats es van fer públics abans de la publicació dels pegats de seguretat, prevista per al 22 d’octubre. L’equip de desenvolupament de PHP va publicar ahir les versions corregides i diverses empreses internacionals de ciberseguretat ja han detectat intents d’explotació. Les vulnerabilitats poden afectar qualsevol instal·lació de PHP que serveixi pàgines web, independentment de la configuració utilitzada. Es considera que poden estar afectades totes les versions des de PHP 5. Les versions 8.1 i anteriors ja no reben suport oficial, fet que agreuja el risc per als sistemes antics que no s’han actualitzat.
Els errors de seguretat poden permetre prendre el control d’un servidor web i afectar empreses, administracions i proveïdors de serveis
En un teixit empresarial andorrà, dominat per les petites i mitjanes empreses, l’impacte pot ser especialment rellevant, ja que molts comerços tenen webs basades en PHP mantingudes per proveïdors externs o allotjades en serveis compartits, sense control directe sobre la versió instal·lada. En les grans organitzacions, el risc afecta portals de clients, aplicacions internes exposades a internet i plataformes de tercers que poden facilitar l’accés a les xarxes corporatives. Els proveïdors nacionals d’allotjament web, serveis gestionats i desenvolupament també són clau, ja que una sola plataforma vulnerable pot afectar diversos clients.
L’ANC-AD, a través del CSIRT-AD, segueix l’evolució de l’incident en coordinació amb els seus homòlegs internacionals i actualitzarà les recomanacions quan disposi de nova informació tècnica. L’Agència, en tot cas, recorda que aplicar els pegats amb rapidesa és la mesura de protecció més eficaç i insta totes les organitzacions del país a actuar avui mateix, independentment de la seva mida.
