Descubren un trío de vulnerabilidades día cero en PHP 7
Check Point ha analizado la función “unserialize” y ha encontrado varios problemas que favorecen la ejecución de ataques de denegación de servicio o que permiten controlar servidores por completo.
Un análisis del equipo de investigadores de Check Point acerca de la versión más reciente del lenguaje de programación web PHP ha derivado en el descubrimiento de varios problemas de seguridad en PHP 7.
Según detalla Check Point, su estudio se ha centrado en la función “unserialize”, que ya había servido a los ciberdelincuentes para poner en jaque a plataformas como Magento, Drupal y Joomla!, entre otras, con PHP 5.
Esta misma función contenía en PHP 7 hasta tres vulnerabilidades día cero que no habían sido descubiertas. Dos de ellas, CVE-2016-7479 y CVE-2016-7480, permitían a un criminal controlar servidores por completo para acabar alterando páginas web, distribuyendo malware o robando información sensible. La tercera, CVE-2016-7478, favorece un ataque de denegación del servicio “que termina colgando la web, consumiendo toda la memoria y cerrándola”, dicen los expertos.
Desde Check Point advierten de que para enfrentarse a este tipo de amenazas, “las soluciones tradicionales de ciberseguridad no sirven”. De hecho, “sólo con las mejores tecnologías de prevención las empresas pueden adelantarse a los piratas informáticos y mantener a salvo sus datos”.
Check Point trasmitió sus averiguaciones sobre este trío de vulnerabilidades hace unos cuantos meses al equipo de seguridad de PHP, que en octubre y diciembre parcheaba dos de ellas.
