Según informó el sitio oficial de PHP (php.net), el proyecto publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para solucionar dos vulnerabilidades críticas. Ambas podrían permitir la ejecución remota de código (RCE, por sus siglas en inglés) sin que el atacante necesite credenciales. Por la gravedad del problema, el equipo de PHP recomienda a todos los usuarios actualizar sin demoras.
PHP es un lenguaje de programación muy usado para desarrollar sitios y aplicaciones web. Según el aviso, el riesgo alcanza a todas las instalaciones que atienden solicitudes web, entre ellas las que usan PHP-FPM (un gestor de procesos que funciona mediante FastCGI), Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Dónde el riesgo es mayor
De acuerdo con la fuente, la situación más delicada corresponde a las instalaciones que usan mod_php, el módulo que integra PHP directamente en el servidor Apache. El proyecto indica que existe un exploit demostrado en el que una solicitud sin autenticar puede disparar el ataque antes de que se ejecute cualquier código de la aplicación. Esto significa que la protección que pueda tener el propio sitio no llegaría a intervenir.
