A l'octubre van sortir diversos avisos de seguretat importants en pocs dies. En un d'ells, el de PHP, les eines d'IA van tenir molt a veure en el fet que es trobés l'error. Cada cop es detecten més vulnerabilitats i es publiquen més de pressa, i per a qui té un producte digital en marxa (una plataforma de gestió, una botiga en línia o una app) això deixa menys marge per anar endarrerit amb les actualitzacions. Ho veiem amb el cas de PHP i amb el dels certificats d'eMudhra, tots dos de les últimes setmanes.
Què va passar amb PHP a l'octubre
El 21 d'octubre, l'equip de PHP va publicar una correcció urgent per a dos errors crítics, coneguts com a PHP2Shell, que en el pitjor dels casos permetien prendre el control d'un servidor sense contrasenya. El problema era al mateix motor de PHP, així que afectava qualsevol projecte fet amb aquest llenguatge. Els detalls es van filtrar un dia abans que sortís el pedaç, i hi va haver administracions públiques que van desconnectar serveis mentre actualitzaven.
Un dels dos errors es coneixia des del 2024, però no se'n va veure la gravetat fins aquest estiu, quan diverses revisions fetes amb IA, d'OpenAI i d'empreses de seguretat com Wiz i Trail of Bits, hi van arribar per separat.
Els certificats d'eMudhra i les apps que es van haver de tornar a publicar
Aquella mateixa setmana es va saber que les claus de vuit certificats intermedis d'eMudhra, una autoritat de certificació, estaven compromeses. Aquests certificats serveixen per comprovar que una connexió arriba al servidor correcte, i amb les claus en males mans algú es podria fer passar per un servei legítim. Navegadors i sistemes operatius hi van deixar de confiar en pocs dies, i eMudhra ha anunciat que deixa aquest negoci.
En mòbils i ordinadors n'hi va haver prou amb l'actualització habitual del sistema. Algunes apps, en canvi, porten la seva pròpia llista de certificats i no recullen aquests canvis. Per a aquestes, les eines afectades van publicar versions corregides, i calia compilar l'app de nou i pujar-la a les botigues perquè arribés als usuaris.
Per què ara es detecten més errors de seguretat
Segons OpenAI, el de PHP és un de diversos descobriments semblants que té en marxa, i n'espera molts més en els propers mesos. Microsoft va corregir a l'octubre més de 1.400 vulnerabilitats, la xifra més alta que ha publicat en un sol mes. Les eines d'IA revisen codi molt més de pressa i estan traient a la llum errors que feia anys que hi eren.
Que apareguin errors antics permet corregir-los, tot i que qui els busca per aprofitar-los també té aquestes eines, i el temps entre que es publica una vulnerabilitat i algú intenta fer-la servir és cada vegada més curt. Amb PHP2Shell, els intents van començar tan bon punt es van filtrar els detalls.
La importància d'estar al dia
Quan surt un avís, el primer és saber si t'afecta. Sabent quina versió de PHP porta cada servidor, quines llibreries fa servir el projecte o amb quina versió de Flutter es va compilar l'app que hi ha a les botigues, això es resol ràpid. Després cal aplicar la correcció, provar-la en un entorn de proves i passar-la a producció. Amb una app s'hi sumen la revisió d'App Store i Google Play i aconseguir que la gent actualitzi, cosa que es facilita amb un avís dins de la mateixa app o fixant una versió mínima.
On més es nota la diferència és en com d'al dia estava el projecte abans de l'avís. PHP va publicar les correccions per a les versions 8.2 a 8.5, així que qui seguia en una d'anterior no tenia cap pedaç per instal·lar i abans necessitava una migració a una versió amb suport. Amb una app que fa mesos que no es compila passa una cosa semblant, perquè abans de publicar la correcció cal resoldre els canvis que s'han anat acumulant. Anar actualitzant a poc a poc durant l'any és el que permet respondre a temps quan arriba el següent avís.
T'ajudem amb el teu projecte
Si tens un producte en marxa i no saps en quin estat estan les seves versions, ara és un bon moment per revisar-ho, sense esperar el pròxim avís. Ho podem fer amb tu i dir-te què està al dia, què convé actualitzar aviat i què pot esperar. I si prefereixes no haver d'estar pendent d'aquestes coses, és part del que cobreix el nostre servei de manteniment i evolució
