PHP2Shell: qué sistemas de tu cierre mensual corren PHP

En resumen: el 21 de octubre PHP publicó parches para dos fallos críticos (CVSS 9,2) que permiten ejecutar código en un servidor sin usuario ni contraseña. El aviso llegó como asunto de IT, pero la lista de sistemas afectados incluye tiendas, repositorios de documentos y herramientas de base de datos que alimentan el cierre mensual. Lo que le toca a finanzas no es parchear: es saber cuáles son, exigir confirmación escrita y rotar las claves que mueven dinero.

El aviso llegó con membrete de seguridad informática. El efecto, si algo sale mal, aparece en tu cierre: un cobro que no cuadra, una devolución que nadie hizo, una clave de la pasarela en manos ajenas.

El inventario que pide CISA, en versión financiera

CISA pide inventariar todos los sistemas que corran PHP, incluido el PHP embebido en otro software, y parchear primero los que dan a internet. Es la recomendación de un organismo, no del departamento financiero, pero describe exactamente el trabajo que a finanzas le toca hacer en su parcela.

Entre las aplicaciones sobre las que los investigadores de Sansec demostraron ejecución remota hay varias que un departamento financiero puede tener, a sabiendas o no. PrestaShop confirmó además que sus tiendas están en el mismo caso.

Si tu ERP es un servicio en la nube de un proveedor, el parche es cosa suya y lo que toca es pedirle que lo confirme. Si lo alojáis vosotros, es cosa vuestra. Preguntarlo hoy cuesta una línea de correo.

Qué puede haberse llevado un servidor expuesto

Uno de los dos fallos puede devolver memoria de otras peticiones. Sansec advierte de que ahí pueden viajar contraseñas, tokens, claves API y claves TLS. Traducido a finanzas: las claves de la pasarela de pago, la conexión bancaria, los conectores de ERP y el correo desde el que salen las facturas.

El matiz importa: no hay certeza de que tu servidor haya sido atacado. CISA no había observado explotación al publicar su aviso, aunque Cloudflare sí detectó tráfico de ataque contra clientes. La precaución barata es rotar claves tras el parche, empezando por las que más dinero pueden mover.

Qué cambia en tu proceso Antes: la seguridad de la tienda y de las herramientas web era cosa de IT o de marketing, y finanzas se enteraba cuando algo no cuadraba. Después: finanzas mantiene su propia lista de sistemas con PHP que alimentan el cierre, pide confirmación escrita del parche y rota las claves de pasarela y conectores. El impacto se nota en la conciliación de cobros y devoluciones del mes en curso.

¿Corre PHP el ERP de mi departamento?

Depende de cómo esté montado. Si es un servicio en la nube, el parche es responsabilidad del proveedor y lo único que tienes que hacer es pedirle una confirmación escrita. Si lo alojáis vosotros, o si tiene módulos o paneles en PHP, es vuestro y hay que mirarlo con IT. Ante la duda, pregunta al proveedor por escrito qué corre y qué versión.

¿Qué claves roto primero?

Por orden de poder para mover dinero: pasarela de pago, conexión bancaria, conectores entre la tienda y el ERP, y el correo desde el que se emiten facturas. Rota solo después de parchear el servidor, o la clave nueva nacerá en el mismo sitio que la vieja.

¿Cómo reconcilio la ventana de exposición?

Los detalles del fallo se filtraron el 20 de octubre. Desde esa fecha hasta el día en que cada sistema se parcheó, compara tres fuentes: pedidos de la tienda, liquidaciones de la pasarela y movimientos del banco. Las señales a buscar son devoluciones sin pedido, cambios de cuenta de cobro y abonos emitidos sin origen claro. Si el cierre ya conciliaba esas tres fuentes, el trabajo es repetirlo acotado a esas semanas, no empezar de cero.

¿Y si somos una gestoría con cartera?

El inventario es por cliente, no por despacho. Pide a cada uno que confirme si su tienda o su servidor corren PHP y qué versión, y apunta la respuesta en el expediente. Los clientes con tienda propia son los que más preguntas generan, porque sus ventas son la entrada de vuestro cierre.

¿Es motivo para cambiar de plataforma?

No esta semana. El parche es lo urgente; migrar es una decisión de otro calendario y de otro presupuesto. Si mantener una tienda en PHP te cuesta cada mes más que cambiarla, el equipo técnico de Epinium hace migraciones con las redirecciones y los datos de catálogo y pedidos trasladados. Y si cambias, que los conectores de tu contabilidad cambien contigo: Accountali tiene integración con PrestaShop, WooCommerce y Shopify.

Lo que queda después del aviso

Dentro de unas semanas nadie recordará el nombre del fallo. Quedará una lista que casi ningún departamento financiero tenía: qué sistemas alimentan su cierre, dónde corren y quién los actualiza. El siguiente aviso así llegará de golpe, y quien ya tenga esa lista decide en una hora.

¿Sabes qué sistemas alimentan tu cierre y si cuadran con el banco? Un inventario ordenado y una conciliación automática de tus canales de venta recortan el trabajo de una semana como esta. Descubre cómo Accountali concilia tus canales de venta →