Hoy se lanza la actualización de seguridad de PHP y cómo reforzamos la protección del lenguaje.
· Fuente: Simon Willison
La Fundación PHP ha publicado hoy una actualización de seguridad que cubre toda la rama PHP 8.x, corrigiendo dos vulnerabilidades que permiten la ejecución remota de código. Estas fallas comenzaron a circular en foros y redes sociales el 20 de octubre, acompañadas de información incorrecta sobre la fecha de publicación y una puntuación CVSS exagerada. Ante la filtración, el proyecto adelantó su anuncio oficial y lanzó la versión parcheada el mismo día, moviendo la fecha prevista de publicación.
El proceso de divulgación se vio comprometido cuando una empresa de seguridad, involucrada en la investigación, difundió accidentalmente un video que mostraba un exploit funcional y revelaba algunos detalles adicionales. Copias del material se diseminaron rápidamente, lo que aceleró la creación de pruebas de concepto por parte de terceros y aumentó la exposición de los sistemas vulnerables.
Según el equipo que descubrió la vulnerabilidad, la investigación comenzó en agosto, con pruebas de ejecución no autenticada contra plataformas como Drupal y WordPress, y la notificación formal al equipo de seguridad de PHP se realizó a finales de agosto. El parche estuvo disponible el 21 de octubre, coincidiendo con la divulgación pública.
Esta noticia es relevante porque millones de sitios web dependen de PHP; la rápida adopción del parche es esencial para evitar compromisos que podrían afectar datos confidenciales y la estabilidad de servicios en línea. Además, el incidente subraya la importancia de manejar con cautela la información durante los procesos de divulgación responsable.
Leer artículo original en Simon Willison
Este resumen es una síntesis informativa elaborada por dataqbs.com. Todos los derechos sobre el contenido original pertenecen a su autor y al medio de comunicación citado. Nosotros solo actuamos como curadores de noticias tecnológicas, sin reclamar autoría alguna.