En internet, la diferencia entre mantener un negocio online operativo o sufrir un secuestro de datos (ransomware) se mide en minutos. Cuando se descubre una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en un componente tan extendido como el intérprete de PHP —utilizado por más del 75 % de las páginas web del mundo—, los ciberdelincuentes despliegan robots automatizados para atacar millones de servidores en cuestión de horas. En este artículo explicamos la anatomía técnica de estas amenazas y el protocolo de respuesta rápida en menos de 2 horas que aplicamos en InFoAL para blindar los sitios de todos nuestros clientes.

Anatomía de una vulnerabilidad crítica en PHP: El peligro del RCE

Las vulnerabilidades más peligrosas en servidores web son aquellas clasificadas con un índice CVSS superior a 9.5 sobre 10. Casos recientes, como el bypass de argumentos en implementaciones de PHP-CGI (CVE-2024-4577) o vulnerabilidades en el procesamiento de cadenas multibyte (Best-Fit mapping), permiten a un atacante enviar una petición HTTP especialmente manipulada que engaña al sistema operativo.

A través de esta inyección de parámetros, el atacante puede forzar al binario de PHP a interpretar código arbitrario inyectado en el cuerpo de la petición HTTP, logrando:

• Acceso completo a archivos de configuración de WordPress y PrestaShop (wp-config.php, parameters.php) con credenciales de base de datos.
• Creación de puertas traseras (webshells) silenciosas para descargar troyanos o enviar spam masivo.
• Modificación de pasarelas de pago para desviar cobros con tarjeta hacia cuentas fraudulentas.

El protocolo de blindaje en 3 fases de InFoAL

En InFoAL aplicamos una estrategia de defensa en profundidad que neutraliza la amenaza antes de que los parches oficiales de software estén disponibles:

Fase 1: Reglas virtuales inmediatas en el WAF (Minuto 0 a 30)

Antes de que sea posible actualizar los paquetes de software de decenas de servidores, nuestro equipo de seguridad despliega reglas de filtrado virtual a nivel de Firewall de Aplicaciones Web (WAF) a través de Imunify360 y ModSecurity. Estas reglas interceptan los patrones de ataque en los encabezados HTTP entrantes y bloquean la petición con un error 403 Forbidden antes de que toque el intérprete de PHP.

Fase 2: Parcheo en caliente sin caídas de servicio (KernelCare y ea-php)

Gracias a la tecnología de parcheo en caliente, aplicamos las correcciones en el núcleo del sistema operativo y en las librerías de PHP en tiempo real, sin necesidad de reiniciar los servidores ni interrumpir las transaccionales comerciales de las tiendas online de nuestros clientes.

Fase 3: Aislamiento estricto de cuentas con CloudLinux CageFS

Incluso en el hipotético caso de que una web desactualizada sufriera una brecha, el sistema de jaula virtualizada CageFS de CloudLinux encapsula a cada usuario en su propio espacio aislado: el atacante no puede ver los archivos de otros clientes del servidor ni acceder a comandos del sistema.

Resultados del protocolo de mitigación de InFoAL