PHP2Shell y Railway

Qué ha pasado: un agujero en el motor de medio internet

PHP es el «motor» de cerca del 70 % de las webs. Cuando entras en una web, en su servidor hay un programa que la monta y te la envía. En la mayoría de webs ese programa es PHP, entre ellas todas las de WordPress: blogs, tiendas, webs de ayuntamientos, hospitales…

Han encontrado dos agujeros en ese motor, y los llaman «PHP2Shell». Con ellos, cualquiera puede mandar una petición trucada a una web y tomar el control de su servidor sin usuario ni contraseña. Da igual que la web esté bien hecha: el fallo está en el motor, no en la web.

Por qué ha estallado: PHP publicó el arreglo el 21 de octubre, pero los detalles se filtraron antes. Según AWS, ya hubo intentos de aprovecharlo 4 días antes de que se hiciera público, y ahora hay intentos masivos. Por eso muchos han preferido apagar sus webs hasta actualizar: gobiernos de Alemania, Bélgica y Chequia, el puerto de Róterdam, hospitales y parte de Wikipedia. Lo resume la NSA: «si no puedes actualizar, desconéctate».

Ojo: de momento nadie ha confirmado un ataque con éxito. Hay muchos intentos, pero ningún caso demostrado.

El riesgo para ti

A ti no te pueden hackear el ordenador por este fallo. El agujero está en los servidores de las webs, no en tu móvil ni en tu navegador.

El peligro es indirecto: que una web normal, de las de siempre, esté trucada sin que lo sepas. Si alguien toma una web sin parchear, puede meterle cosas falsas:

un aviso de «conecta tu wallet» o «firma para verificar»,
un «actualiza tu navegador, descarga este archivo»,
un formulario de acceso falso que se queda con tu contraseña.

Tú ves la web de siempre, con su dirección de siempre, y por eso te fías. Por eso CZ dice «cuidado con CUALQUIER web estos días». No es que sean webs de estafa: son webs legítimas que pueden estar tomadas.

Qué hacer: nada técnico. Unos días de prudencia:

No conectes la wallet ni firmes nada en webs que no uses a diario.
Entra a los exchanges desde tus favoritos o la app, no desde Google.
Ninguna web pide la frase semilla, nunca.
Si una web te pide descargar algo para «actualizar», ciérrala.

Y lo de Railway, que es otra cosa

Railway es un «alquiler de servidores» donde programadores y empresas tienen sus aplicaciones, entre ellas bots de trading. Allí les han entrado y han podido ver las claves que esas aplicaciones guardan, también las claves API de exchanges. Y aquí sí hay dinero perdido: se señalan unos 369.000 $ vaciados de wallets, aunque todavía como sospecha.

El riesgo para ti: si tienes un bot o una app conectada a tu exchange con una clave API, bórrala y crea una nueva, sin permiso de retirada.

En una frase

«Han encontrado un agujero en el motor de casi tres de cada cuatro webs. Tu ordenador no corre peligro, pero cualquier web, incluso una de las de siempre, puede estar trucada estos días: no conectes la wallet ni firmes nada que no esperes».