PHP2Shell: What Actually Protects You Before the 14:00 UTC PHP RCE Patch, and What Doesn't
The Hacker News · 21 oct, 12:36
PHP lanzará hoy a las 14:00 UTC dos parches para fallos críticos (CVSS 9.2) conocidos como PHP2Shell sin ataques reportados aún. El ajuste de configuración «session.upload_progress.enabled=0» que circula como mitigación es insuficiente por sí solo; GMO Flatt Security retractó su recomendación inicial reconociendo que se esperan ataques que lo eluden.
PHP publicará hoy las correcciones para dos vulnerabilidades críticas (CVSS 9.2), pero hasta el lanzamiento no hay workaround garantizado. La configuración «session.upload_progress.enabled=0» que circula en redes sociales y blogs de seguridad fue sugerida por GMO Flatt Security el 21 de octubre como posible mitigación; sin embargo, la misma firma actualizó su posición horas después, advirtiendo que el cambio por sí solo no es una protección completa y que se esperan ataques que lo eludan. Gina Peter Banyard, desarrolladora de PHP y documentalista financiada por PHP Foundation, fue clara: "el único mitigación es parchear o actualizar PHP".
Las organizaciones que no puedan parchear inmediatamente deben aislar aplicaciones expuestas a Internet tras VPN, controles de acceso autenticados o listas de permitidos, reducir datos almacenados en el servidor, eliminar credenciales guardadas e incluidas roles en la nube, y asegurar que el registro está habilitado. Los parches se distribuirán solo para las ramas soportadas (8.2 a 8.5); versiones anteriores como 7.x o 5.x que están fin de vida deberán actualizarse, desconectarse o aislarse.
Puntos clave
- PHP lanzará parches para dos fallos CVSS 9.2 hoy 21 octubre a las 14:00 UTC
- La configuración session.upload_progress.enabled=0 es mitigación incompleta; se esperan ataques que la eluden
- Aislar sistemas expuestos tras VPN o acceso autenticado hasta aplicar el parche
- Ramas 8.2–8.5 recibirán el parche; versiones anteriores están fin de vida y requieren actualización o aislamiento