PHP2Shell: què has de revisar en la web de la teua empresa

Què passa amb PHP2Shell?

Les fallades afecten la gestió de memòria i d’estat entre peticions. PHP confirma execució remota de codi sense autenticació; no totes les instal·lacions tenen la mateixa via d’explotació. S’han demostrat casos en Apache mod_php i PHP-FPM.

INCIBE parla d’atacs anteriors als pedaços. CISA assenyalava que no havia observat explotació quan va publicar el seu avís del 21 d’octubre. No podem deduir d’eixos avisos si hi ha hagut intrusions amb èxit.

• Execució de programes amb els permisos del procés web.
• Possible exposició de dades en memòria, com credencials o informació de clients.
• Versions antigues de PHP també requereixen revisió.

La teua empresa utilitza PHP?

No mires només la web corporativa. El responsable del servidor ha de confirmar on s’executa PHP i amb quina versió.

• WordPress, WooCommerce, PrestaShop, Joomla o Drupal.
• Intranets, CRM, ERP web, reserves o portals WiFi que utilitzen PHP.
• Panells web d’equips: comprova l’avís del fabricant, sense donar per fet que tots estan afectats.
• Windows, el correu o el TPV no estan afectats directament si no executen ni exposen PHP vulnerable; un servidor Windows amb PHP sí s’ha de revisar.

Quines mesures ha pres iDeo?

En les webs que allotgem, incloent-hi WordPress, hem aplicat mesures a tots els servidors des de PHP 5.6. És la situació operativa comunicada per iDeo el 22 d’octubre.

El Centre d’Atenció a Usuaris revisa els sistemes que mantenim, començant pels accessibles des d’Internet, i comprova actualitzacions, registres i confirmacions dels proveïdors externs.

• session.upload_progress.enabled = 0 desactiva una via d’atac demostrada.
• session.use_strict_mode = 1 reforça les sessions, però no és una correcció completa de PHP2Shell.
• Apliquem progressivament les actualitzacions per a PHP 7.4 i posteriors distribuïdes per Plesk i cPanel.
• Per a webs en PHP 7.3 o anterior, planificarem la migració amb tu.
• Documentem els sistemes corregits i els pendents, amb la versió corresponent.

Què has de preguntar al teu proveïdor?

Si una altra empresa porta la web, demana-li per escrit quina versió de PHP té, quin pedaç ha instal·lat i si ha reiniciat els processos. Si vols, coordinem eixa comprovació amb ella.

• Actualitzar WordPress i els connectors no substituïx actualitzar PHP.
• Un pedaç excepcional no torna a donar suport regular a una branca antiga.
• Si veus canvis inesperats, avisa’ns i conserva els registres i els fitxers; no els esborres.
• Davant d’una bretxa de dades personals, valora si s’ha de notificar a l’AEPD. Quan és obligatori, el termini general és de 72 hores des que se’n té coneixement, llevat que siga improbable un risc per als drets i les llibertats.

Quines versions corregixen les fallades?

Aplica la versió corregida de la teua branca, o un paquet del proveïdor que documente el pedaç complet, i reinicia els processos PHP. La interrupció es coordina abans; no hi ha una duració universal.

PHP 8.1 i anteriors no tenen suport regular. Hi ha pedaços excepcionals de codi font per a 7.4, 8.0 i 8.1: consulta el proveïdor i prepara la migració. El suport de seguretat de PHP 8.2 acaba el 31-12-2026.

I si l’actualització ha d’esperar?

PHP indica que cap ajust provisional és complet. Desactivar el progrés de pujada talla una via concreta; limitar els enviaments i un WAF poden reduir exposició, però no substituïxen el pedaç.

Els ajustos s’han d’imposar des de l’administració del servidor, amb reinici dels processos, no des d’un connector de WordPress. Acorda amb el tècnic com limitar l’accés fins a completar l’actualització.