La carrera por parchear PHP prueba que ya no se puede actualizar a ritmo humano

¿Qué dice del estado de la seguridad en internet que lo responsable sea apagar tu página web? Ese fue el consejo de agencias de todo el mundo esta semana, y muchas organizaciones lo siguieron.

La semana en que lo prudente era apagarlo todo

Dos fallos críticos en PHP, el lenguaje en el que se apoya buena parte de la web, se encontraron con herramientas de IA. Según la BBC, la PHP Foundation publicó una corrección el miércoles, y agencias como el NCSC británico recomendaron que las organizaciones que no pudieran corregir al instante valoraran desconectar sus sistemas. Finlandia cerró temporalmente sus servicios web públicos del Gobierno, la agencia de ciberseguridad de los Países Bajos retiró su propio sitio y partes de Wikipedia dejaron de estar accesibles. La NSA advirtió de que estos errores suelen dar acceso directo al sistema de archivos o a la base de datos de un servidor.

Los fallos llevaban más de una década sin detectarse. Los detalles se filtraron en redes sociales antes de la divulgación prevista, lo que obligó a precipitar el anuncio. El director de tecnología de Cloudflare dijo que ya veía los primeros ataques.

El error no es la noticia; lo es el reloj

En toda base de código grande hay errores antiguos y profundos. Lo que ha cambiado es quién los encuentra y a qué velocidad. Wiz afirmó que los modelos de frontera permitieron a sus investigadores desarrollar exploits funcionales en varias aplicaciones en cuestión de horas. OpenAI, que asegura que sus herramientas ayudaron a hallar los fallos, escribió que esas mismas capacidades "también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos".

Compáralo con el lado de los defensores. The Record cuenta que uno de los errores se remonta a una auditoría de 2024 y quedó atascado durante meses mientras un pequeño equipo de desarrolladores principales lidiaba con dilemas de compatibilidad. No los culpamos. Su razonamiento parece sensato en un mundo donde nadie podía convertir el error en arma con rapidez. Ese mundo ya no existe.

A nuestro juicio, este es el desajuste de fondo: descubrir lleva semanas u horas, mientras que corregir por consenso, empaquetar y desplegar en miles de organizaciones lleva meses. Quien se queda en ese hueco está expuesto.

Apagar webs es un síntoma, no una estrategia

Desconectar un sitio funciona, y creemos que las agencias acertaron al decirlo. Pero es un freno de emergencia, no un plan. Don Smith, de Sophos, dio en el clavo: antes de parchear hay que localizar todos los sitios donde corre PHP, incluidos gestores de contenidos, plataformas de alojamiento y productos de terceros, a veces sin que la organización lo sepa.

Eso es un problema de inventario, y no se resuelve el día en que sale el aviso. Sospechamos que las organizaciones que sabían qué ejecutaban pudieron parchear o aislar en horas, mientras que las demás tuvieron que adivinar, y así se llega al apagón.

Hay además un grupo más difícil: el software heredado. The Record señala que los parches solo cubren PHP 8.2 y posteriores, y cita estimaciones de Cisco Talos según las cuales cerca del 50 % de los sistemas PHP vulnerables podría no recibir parche. Esos responsables no pueden salir del paso automatizando una versión sin soporte. Para ellos la ventana de exposición no se cierra; ahí se queda. Es la parte más infravalorada de esta historia.

Los defensores deben tratar el inventario y la velocidad como controles

Primero, trata el inventario como un control de seguridad. Conoce cada instancia de PHP, también las que incluyen los proveedores, y pregunta a estos directamente.

Segundo, automatiza lo aburrido: despliegues escalonados, reversiones probadas y vías de emergencia preaprobadas para que una actualización crítica no espere a un comité. Los mantenedores necesitan lo mismo; la PHP Foundation dice que está cambiando su estructura interna para que los errores graves lleguen antes a su dirección.

Tercero, retira las versiones sin soporte antes del próximo aviso, no durante él.

Hay un contraargumento razonable. OpenAI señala que, hasta donde sabe, la IA de frontera encontró estos fallos antes que los atacantes, lo que da ventaja a los defensores, y se ha comprometido a aportar 1000 millones de dólares en acceso subvencionado para organizaciones con pocos recursos de seguridad. Es alentador, aunque es el planteamiento de la propia empresa, y la filtración y los primeros ataques muestran lo rápido que se esfuma una ventaja. El consejero delegado de Chainguard dijo que el sector debe "descubrir cómo superarlos más rápido, de forma más coordinada y mejor", y estamos de acuerdo. OpenAI también espera que hallazgos similares aumenten con fuerza en los próximos meses. Tómalo como una previsión, pero plausible.

El veredicto: esta semana fue un ensayo. Las organizaciones capaces de parchear en horas vivirán la próxima como un martes cualquiera. Las demás volverán a ensayar el apagón.