En octubre salieron varios avisos de seguridad importantes en pocos días. En uno de ellos, el de PHP, las herramientas de IA tuvieron mucho que ver en que se encontrara el fallo. Cada vez se detectan más vulnerabilidades y se publican más rápido, y para quien tiene un producto digital en marcha (una plataforma de gestión, una tienda online o una app) eso deja menos margen para ir atrasado con las actualizaciones. Lo vemos con el caso de PHP y con el de los certificados de eMudhra, los dos de las últimas semanas.
Qué pasó con PHP en octubre
El 21 de octubre, el equipo de PHP publicó una corrección urgente para dos fallos críticos, conocidos como PHP2Shell, que en el peor caso permitían tomar el control de un servidor sin contraseña. El problema estaba en el propio motor de PHP, así que afectaba a cualquier proyecto hecho con él. Los detalles se filtraron un día antes de que saliera el parche, y hubo administraciones públicas que desconectaron servicios mientras actualizaban.
Uno de los dos fallos se conocía desde 2024, pero no se vio lo grave que era hasta este verano, cuando varias revisiones hechas con IA, de OpenAI y de empresas de seguridad como Wiz y Trail of Bits, llegaron a él por separado.
Los certificados de eMudhra y las apps que hubo que volver a publicar
Esa misma semana se supo que las claves de ocho certificados intermedios de eMudhra, una autoridad de certificación, estaban comprometidas. Estos certificados sirven para comprobar que una conexión llega al servidor correcto, y con las claves en malas manos alguien podría hacerse pasar por un servicio legítimo. Navegadores y sistemas operativos dejaron de confiar en ellos en pocos días, y eMudhra ha anunciado que deja este negocio.
En móviles y ordenadores bastó con la actualización habitual del sistema. Algunas apps, en cambio, llevan su propia lista de certificados y no recogen esos cambios. Para ellas, las herramientas afectadas publicaron versiones corregidas, y había que compilar la app de nuevo y subirla a las tiendas para que llegara a los usuarios.
Por qué ahora se detectan más fallos de seguridad
Según OpenAI, lo de PHP es uno de varios hallazgos parecidos que tiene en marcha, y espera muchos más en los próximos meses. Microsoft corrigió en octubre más de 1.400 vulnerabilidades, la cifra más alta que ha publicado en un solo mes. Las herramientas de IA revisan código mucho más rápido y están sacando a la luz fallos que llevaban años ahí.
Que aparezcan fallos antiguos permite corregirlos, aunque quien los busca para aprovecharlos también tiene estas herramientas, y el tiempo entre que se publica una vulnerabilidad y alguien intenta usarla es cada vez más corto. Con PHP2Shell, los intentos empezaron en cuanto se filtraron los detalles.
La importancia de estar al día
Cuando sale un aviso, lo primero es saber si te afecta. Sabiendo qué versión de PHP lleva cada servidor, qué librerías usa el proyecto o con qué versión de Flutter se compiló la app que está en las tiendas, eso se resuelve rápido. Después hay que aplicar la corrección, probarla en un entorno de pruebas y pasarla a producción. Con una app se suman la revisión de App Store y Google Play y conseguir que la gente actualice, algo que se facilita con un aviso dentro de la propia app o fijando una versión mínima.
Donde más se nota la diferencia es en cómo de al día estaba el proyecto antes del aviso. PHP publicó las correcciones para las versiones 8.2 a 8.5, así que quien seguía en una anterior no tenía parche que instalar y antes necesitaba una migración a una versión con soporte. Con una app que lleva meses sin compilarse pasa algo parecido, porque antes de publicar la corrección hay que resolver los cambios que se han ido acumulando. Ir actualizando poco a poco durante el año es lo que permite responder a tiempo cuando llega el siguiente aviso.
Te ayudamos con tu proyecto
Si tienes un producto en marcha y no sabes en qué estado está, ahora es buen momento para revisarlo. Podemos hacerlo contigo y decirte qué está al día, qué conviene actualizar pronto y qué puede esperar. Y si prefieres no tener que estar pendiente de estas cosas, es parte de lo que cubre nuestro servicio de mantenimiento y evolución
