Investigadores y mantenedores han confirmado la existencia de una explotación denominada «php2shell» que afecta a PHP 7.4. Según el reporte original, las correcciones ya se han incorporado en Ubuntu 20.04 Pro y en entornos de web hosting gestionado, por lo que muchos servidores han empezado a recibir parches o mitigaciones a nivel de empaquetado y plataforma.
Qué es php2shell y por qué importa
El término php2shell describe una técnica de explotación que, en contextos vulnerables, permite a un atacante ejecutar comandos en el servidor (obtener una «shell») a través del procesamiento de código PHP o de entradas mal validadas. Esto suele traducirse en control remoto del servidor, escalado de privilegios o despliegue de malware en sitios web. En este caso concreto la afectación recae en instalaciones que ejecutan PHP 7.4.
Qué ha hecho Ubuntu 20.04 Pro y los hosts
Según la información disponible, Canonical incorporó la corrección en las imágenes y paquetes que distribuye para Ubuntu 20.04 Pro y los equipos de operaciones de varios proveedores de hosting aplicaron parches a sus entornos para proteger instalaciones gestionadas. Las correcciones en distribuciones o en paquetes empaquetados suelen incluir backports del arreglo en el intérprete PHP o ajustes en la configuración que bloquean vectores de explotación.
Quiénes se ven afectados
- Servidores que ejecutan PHP 7.4, especialmente aquellos con versiones sin parchear del intérprete o con módulos y extensiones no actualizados.
- Sitios web en entornos de hosting compartido o gestionado en los que el proveedor no haya aplicado aún la mitigación.
- Aplicaciones PHP que procesan entradas externas sin saneamiento adecuado (formularios, uploads, parámetros URL) y que confían en configuración por defecto del entorno.
Qué deben hacer los administradores y dueños de sitios
- Comprobar si su distribución o proveedor ha publicado un aviso o update relacionado con php2shell y aplicar los parches recomendados lo antes posible.
- Si usa Ubuntu 20.04 Pro, verificar que las actualizaciones del sistema y paquetes PHP estén instaladas. En entornos gestionados, confirmar con el proveedor que la mitigación ya se ha aplicado.
- Considerar actualizar a versiones de PHP soportadas y con parches de seguridad activos; PHP 7.4 llegó al final de su soporte principal, por lo que depender de backports del proveedor es crítico.
- Revisar las aplicaciones PHP en busca de prácticas inseguras: entradas sin validar, ejecución dinámica de código (eval, include con rutas controladas por usuario) y subidas de archivos sin restricciones estrictas.
- Inspeccionar logs del servidor en busca de signos de explotación (ejecución de comandos inusuales, shells web, archivos sospechosos) y, si se detecta compromiso, aislar la máquina y realizar un análisis forense.
Explicación técnica y términos
Una «shell» es una interfaz que permite ejecutar comandos en el sistema operativo. Las vulnerabilidades que permiten convertir entradas en ejecución de comandos (como php2shell) suelen explotarse cuando el intérprete PHP procesa datos controlados por el usuario sin las comprobaciones necesarias. Un «backport» es la aplicación de un arreglo de una versión más reciente del software a una versión anterior mantenida por el proveedor (por ejemplo, aplicar un parche de PHP más nuevo a paquetes de Ubuntu 20.04).
Recomendaciones finales
Priorice la actualización de paquetes PHP y del sistema operativo, confirme con su proveedor de hosting el estado de las mitigaciones y, mientras tanto, refuerce las prácticas de desarrollo seguro: saneamiento de entradas, restricción de funciones peligrosas y políticas de permisos mínimas en archivos y directorios. Si su sitio depende de PHP 7.4 y no puede migrar de inmediato, mantenga copias de seguridad recientes y monitorice actividad anómala.
Lee también:
- PHP2Shell: qué deben comprobar los administradores de QNAP, Nextcloud y OPNsense
- Resumen técnico: relés Tor manipulados, agentes IA no autorizados en bancos y ransomware para macOS que se recompone
Fuente: Pasquale Pillitteri
