Investigadores de seguridad han descubierto dos vulnerabilidades críticas en PHP, el ampliamente utilizado lenguaje de programación del lado del servidor. Estas fallas podrían permitir a atacantes ejecutar ataques de inyección SQL (SQLi) y denegación de servicio (DoS).
Se ha emitido un llamado urgente a administradores y desarrolladores para que actualicen inmediatamente sus instalaciones de PHP a fin de mitigar estos riesgos.
Inyección SQL y Bloqueo a Través de la Extensión pgsql (CVE-2025-1735)
Se ha detectado una vulnerabilidad de gravedad moderada en la extensión pgsql de PHP, la cual facilita la interacción con bases de datos PostgreSQL.
Esta falla se origina debido a que la extensión no gestiona adecuadamente los errores durante el proceso de escape de datos proporcionados por el usuario. En particular, PHP no transmite los parámetros de error a la función PQescapeStringConn(), impidiendo así la notificación de errores de codificación.
Adicionalmente, se ha observado que múltiples llamadas a PQescapeIdentifier() no verifican los retornos NULL, lo que podría resultar en el colapso de la aplicación o un comportamiento impredecible.
Impacto:
Inyección SQL: los atacantes pueden aprovechar esta falla para inyectar consultas SQL maliciosas, obteniendo potencialmente acceso no autorizado a datos confidenciales o manipulando la base de datos.
Denegación de servicio: el manejo inadecuado de errores puede provocar fallas en la aplicación, lo que altera la disponibilidad del servicio.
Versiones afectadas:
PHP<8.1.33
PHP<8.2.29
PHP<8.3.23
PHP<8.4.10
Versiones parcheadas:
PHP 8.1.33, 8.2.29, 8.3.23, 8.4.10 y superiores
Desreferencia de puntero NULL en la extensión SOAP (CVE-2025-6491)
Una segunda vulnerabilidad afecta a la extensión PHP SOAP. Si se crea una instancia de SoapVar con un nombre completo de más de 2 GB, puede desencadenar una desreferencia de puntero NULL, lo que resulta en un error de segmentación y un bloqueo del proceso.
Esto se debe a limitaciones en las versiones de libxml2 anteriores a la 2.13, que no pueden manejar prefijos de espacios de nombres XML extremadamente grandes.
Los atacantes podrían aprovechar esto enviando solicitudes SOAP especialmente diseñadas, provocando una condición DoS confiable.
Impacto:
Denegación de servicio: cualquier aplicación PHP que utilice la extensión SOAP corre el riesgo de ser bloqueada por un atacante remoto, lo que provocaría la interrupción del servicio.
Versiones afectadas:
PHP<8.1.33
PHP<8.2.29
PHP<8.3.23
PHP<8.4.10
Versiones parcheadas:
PHP 8.1.33, 8.2.29, 8.3.23, 8.4.10 y superiores
- Actualice inmediatamente: Actualice PHP a las últimas versiones parcheadas enumeradas anteriormente.
- Aplicaciones de auditoría: Revise el código para detectar el uso inseguro del escape de la base de datos y el manejo de entradas SOAP.
- Monitorear sistemas: Esté atento a fallas inusuales o interrupciones del servicio que puedan indicar intentos de explotación.
Los administradores deben tratar estas vulnerabilidades con urgencia, ya que tanto los ataques SQLi como DoS pueden tener graves consecuencias para la seguridad de los datos y la confiabilidad del servicio.
