170 servidores del Estado colombiano usan PHP viejo y sin el parche de hoy

Horas después de que PHP publicara una actualización de emergencia por dos fallas críticas que permiten tomar control de un servidor, MuchoHacker revisó con datos públicos cuántos sitios del Estado colombiano usan este programa expuesto a internet.



El resultado: alrededor de 170 servidores de entidades públicas con PHP visible, y en la muestra que pudimos verificar versión por versión, casi todos corren con ediciones que el propio proyecto PHP dejó de actualizar hace años. Ninguno tenía el parche de hoy.

¿Qué significa que un servidor tenga una de estas fallas sin corregir? Que un atacante puede enviarle una solicitud desde cualquier lugar de internet, sin necesidad de usuario ni contraseña, y lograr que el servidor ejecute órdenes suyas.

En la práctica, es como entregarle las llaves del sistema: desde ahí puede robar o borrar la información que el sitio administra, modificar el contenido de la página, instalar programas para espiar o secuestrar los datos, y usar ese servidor como trampolín para entrar a otras partes de la red de la entidad. Cuando se trata de un hospital, una secretaría de salud o una entidad que maneja datos de ciudadanos, el riesgo no es solo que la página se caiga, sino que queden expuestos los datos personales de miles de personas.

No publicamos cuáles son esos sitios ni a qué entidades pertenecen. Con ataques en curso, nombrarlos sería entregarles el mapa a los atacantes. Sí contamos cuántos son y a qué sectores pertenecen, la lista la deberíamos entregar a las las autoridades de ciberseguridad del país pero no tiene sentido hacerlo. Ni siquieran han publicado una alerta pública.

Qué encontramos

Dos buscadores de dispositivos conectados a internet, Shodan y Censys, que rastrean la red de forma permanente, coinciden: hay 170 servidores asociados a dominios .gov.co que anuncian PHP (176 según Shodan, 169 según Censys). Son servidores, no sitios: una entidad puede tener varios y un servidor puede alojar varias páginas.

Lo preocupante es la versión. Al revisar en detalle una muestra de 20 de esos servidores, 19 mostraban abiertamente qué versión de PHP usan. De esos 19:

• 18 corren con versiones que ya no reciben actualizaciones de seguridad. PHP solo da soporte a las ramas 8.2 a 8.5; todo lo anterior está descontinuado.
• Cinco usan versiones de la serie 5, que el proyecto abandonó entre 2011 y 2019. Una de ellas, PHP 5.2, es de 2010.
• El único servidor en una versión con soporte (8.2) tampoco estaba protegido, porque no tenía instalado el parche de hoy.

En la práctica, los 19 servidores de la muestra estaban expuestos a las fallas publicadas este miércoles.

A qué sectores pertenecen

Sin nombrar entidades, los servidores revisados se reparten así:

• Salud: hospitales y secretarías de salud departamentales, incluidos sistemas de historia clínica y portales de inicio de sesión de personal.
• Entidades nacionales: ministerios, superintendencias, institutos y departamentos administrativos.
• Justicia: plataformas del sector judicial.
• Territorial: alcaldías, gobernaciones, concejos municipales y entes descentralizados.
• Ambiental: corporaciones autónomas regionales.

Por regiones, la mayor concentración está en Bogotá, seguida de ciudades como Medellín, Cali e Ibagué. Mencionamos la región solo donde hay varios servidores, para no señalar a ninguna entidad en particular.

Cómo lo hicimos

Esta revisión es completamente pasiva: no accedimos, probamos ni enviamos ninguna solicitud a los servidores del Estado. Todo el trabajo se hizo sobre información que los buscadores Shodan y Censys ya habían recolectado por su cuenta.

1. Buscamos en ambos motores los servidores en Colombia con dominios .gov.co que anuncian PHP.
2. Para los que publican su versión en las respuestas que envían (un dato que el propio servidor expone), la comparamos con la lista oficial de versiones con soporte de PHP.
3. Cruzamos los totales de las dos herramientas para confirmar el orden de magnitud.

Los límites de este ejercicio, con claridad

• Es un mínimo, no un total. Muchos servidores ocultan su versión de PHP, y los dos buscadores no ven toda la red. Hay sitios .gov.co alojados en nubes del exterior que no quedaron en este conteo.
  
• La muestra de versiones no es un censo. Revisamos las 20 primeras fichas que entrega Shodan sin membresía, no una selección aleatoria. Por eso no proyectamos un porcentaje al total de 170: sería estadísticamente incorrecto. Lo que sí es sólido es el patrón, abrumador, dentro de esa muestra.
  
• Un matiz técnico importante: algunos sistemas Linux corrigen estas fallas sin cambiar el número de versión visible. Es posible que una parte de los servidores reciba el parche a través de su sistema operativo aunque siga mostrando una versión “vieja”. Aun así, las versiones de la serie 5 y 7 ya no reciben ninguna corrección, ni del proyecto ni de la mayoría de los sistemas.
  
• Ver PHP expuesto no prueba que un sitio sea explotable. Prueba que usa un componente que hoy requiere actualización urgente.

Qué debería pasar ahora

MuchoHacker hace esta información pública ante la ausencia de respuesta estatal por parte de colCERT y al CSIRT de Gobierno, que en realidad son las entidades encargadas de coordinar la respuesta a incidentes en el Estado. Son justamente las que deberían tener este inventario antes que un medio. Que un ejercicio de unas horas, hecho solo con herramientas públicas, revele decenas de sistemas estatales corriendo software abandonado dice algo incómodo sobre cómo se vigila la seguridad digital de lo público en Colombia.