PHP2Shell: what the new PHP vulnerability means for your WordPress sitePHP2Shell: qué significa la nueva vulnerabilidad de PHP para tu sitio en WordPress

On Wednesday, October 21, PHP released a fix for two flaws that researchers named PHP2Shell. If your website runs on WordPress, it runs on PHP, so this one is about your site.El miércoles 21 de octubre, PHP publicó la corrección de dos fallas que los investigadores llamaron PHP2Shell. Si tu sitio está hecho en WordPress, funciona con PHP, así que esto te toca.

Here is what the flaw does. With a single request, and without logging in, a stranger can run their own code on the server where your site lives. The researchers who found it confirmed it against WordPress, Drupal, Joomla and Magento.Esto es lo que hace la falla: con una sola petición, y sin iniciar sesión, un desconocido puede ejecutar su propio código en el servidor donde vive tu sitio. Los investigadores que la encontraron la confirmaron contra WordPress, Drupal, Joomla y Magento.

And it is already in use. Amazon saw an attack attempt on October 17, four days before the fix was public. By Wednesday night, Cloudflare's CEO was reporting millions of attempts.Y ya la están usando. Amazon detectó un intento de ataque el 17 de octubre, cuatro días antes de que la corrección fuera pública. Para la noche del miércoles, el director de Cloudflare reportaba millones de intentos.

Where the fix has to goDónde tiene que ir la corrección

The fix is a new version of PHP on your server: 8.5.12, 8.4.27, 8.3.36 or 8.2.35. Updating WordPress or its plugins doesn't touch PHP. If your server still runs PHP 7.3 or older, there is no fix for it at all.La corrección es una versión nueva de PHP en tu servidor: 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Actualizar WordPress o sus plugins no toca PHP. Si tu servidor todavía usa PHP 7.3 o anterior, no hay corrección para él.

If someone else hosts your site, ask them two things this week: which PHP version your site runs on, and whether it's one of those.Si alguien más te hospeda el sitio, pregúntale dos cosas esta semana: qué versión de PHP usa tu sitio y si es una de esas.

Bricksforge and wp2shellBricksforge y wp2shell

PHP2Shell is the third flaw this year that lets a stranger in without logging in.PHP2Shell es la tercera falla de este año que deja entrar a un desconocido sin iniciar sesión.

Since October 7, attackers have been using a flaw in Bricksforge, a WordPress plugin on about 6,000 sites. Without logging in, they upload files to the server, which can give them control of the whole site. The attacks Patchstack recorded were automated.Desde el 7 de octubre, los atacantes están usando una falla en Bricksforge, un plugin de WordPress que usan unos 6,000 sitios. Sin iniciar sesión, suben archivos al servidor, y eso les puede dar el control del sitio completo. Los ataques que registró Patchstack eran automatizados.

In July it was WordPress itself. A flaw called wp2shell worked against WordPress as it comes out of the box, and attackers left back doors that stay on the server. When it was published, 60% of the organizations using WordPress had at least one site exposed.En julio fue el propio WordPress. Una falla llamada wp2shell funcionaba con WordPress tal como se instala, y los atacantes dejaron puertas traseras que se quedan en el servidor. Cuando se publicó, el 60% de las organizaciones con WordPress tenía al menos un sitio expuesto.

Look at where each one was: PHP on the server, a plugin, and the core of WordPress. Every one of those pieces needs updates, on every site, for as long as the site is up.Mira dónde estaba cada una: en el PHP del servidor, en un plugin y en el núcleo de WordPress. Cada una de esas piezas necesita actualizaciones, en cada sitio, mientras el sitio exista.

Why we don't build on WordPressPor qué no construimos en WordPress

At Kazu Partners we don't build on WordPress. The site we move you to has no PHP, no plugins and no database. The pages are files the server sends as they are. Without plugins or a database, there is no way in like there is on WordPress.En Kazu Partners no construimos en WordPress. El sitio al que te pasamos no tiene PHP, ni plugins, ni base de datos. Las páginas son archivos que el servidor entrega tal como están. Sin plugins ni base de datos, no hay por dónde entrar como en WordPress.

That doesn't make a site untouchable. Your hosting and domain accounts still need strong passwords and two-step login, and I'd tell you the same about any site.Eso no vuelve intocable a un sitio. Tus cuentas del hosting y del dominio siguen necesitando contraseñas fuertes y verificación en dos pasos, y te diría lo mismo de cualquier sitio.

When we move a site, we rebuild your pages and point your domain to the new one, so your customers find you at the same address. After launch, we keep working on it with you.Cuando pasamos un sitio, rehacemos tus páginas y apuntamos tu dominio al sitio nuevo, así que tus clientes te encuentran en la misma dirección. Después del lanzamiento, seguimos trabajando en él contigo.

Yendi