Respira. Ha sido una semana bastante dura para los equipos de seguridad y desarrollo de todo el mundo. No estás solo.
Las revelaciones han sido un duro golpe, pero no han surgido de la nada. En agosto, el subdirector de seguridad de la información (CISO) de Anthropic, Jason Clinton, advirtió de que en cuestión de meses se avecinaba un «tsunami» de vulnerabilidades . Y, efectivamente, en octubre aparecieron PHP2Shell —dos fallos críticos de ejecución remota de código en PHP— y HTTP2Shell, un fallo en la biblioteca de compresión Brotli (¿Broccoli2Shell?!). La predicción resultó acertada.
La gente lo está llamando «Octubre Negro», un nombre que parece exagerar el daño causado hasta ahora, ya que aún no se ha informado de ningún ataque masivo. Pero Clinton afirma ahora que las cosas empeorarán mucho antes de mejorar, y que tendremos que aguantar unos 18 meses (sea lo que sea que eso signifique).
Abróchate el cinturón.
CloudflareEl director general de [nombre de la empresa], Matthew Prince, comparte una previsión similar. Cree que «vamos a pasar un par de años en los que, cada semana, parecerá que se nos viene el mundo encima». No es precisamente lo que más les gusta oír a los profesionales de la seguridad, pero creemos que debería haber más optimismo y que, a la larga, los defensores saldrán ganando, tema que abordaremos más adelante.
Por qué las cosas empeoran antes de mejorar
Clinton había advertido de que no habría tiempo suficiente para parchear las infraestructuras críticas. Su consejo era acudir al consejo de administración y pedir ayuda con lo básico, lo cual, según él, no tenía nada que ver con la IA. Esos aspectos básicos, tal y como describimos en nuestro reportaje sobre el catastrofismo exagerado de «Mythos», consisten, en la práctica, en saber qué sistemas se gestionan y ser capaz de implementar una solución rápidamente.
Para entender por qué la situación empeora mientras tanto, fíjate en cómo se produjo el incidente PHP2Shell. El fallo de falta de memoria que lo provocó se había detectado en una auditoría de 2024 y no se había solucionado, porque nadie había demostrado que pudiera ser objeto de un ataque. El año pasado, unos investigadores lo hicieron.
«Es un salto enorme pasar de “Tengo un comportamiento extraño e inesperado, quizá un worker se cuelgue momentáneamente” a lo que acabó ocurriendo, que es la ejecución remota de código sin autenticación», afirma Mackenzie Jackson, director técnico de campo de Aikido.
«El papel que desempeñó la IA fue tomar esta idea primitiva y convertirla en una prueba de concepto completa para la ejecución remota de código».
Ese tipo de comportamiento inexplicable está presente en los lenguajes, entornos de ejecución y bibliotecas sobre los que se basa la mayor parte del software, entre ellos PHP y Brotli. Hasta ahora, nadie había tenido tiempo de investigarlos. La IA puede ahora reducir el esfuerzo que ello supone, determinando cuáles de estos comportamientos dan lugar a un exploit real. Es una combinación de velocidad, persistencia y la capacidad de encadenar fallos lo que hace que la IA resulte tan útil para los atacantes.
Por qué los defensas salen ganando
Desde que Mythos pasó a formar parte de la agenda de seguridad, se ha instado a los equipos de seguridad a seguir aumentando la rapidez y la automatización de las medidas correctivas y la respuesta. Solucionar los problemas rápidamente es una de las mejores formas de defenderse. Pero eso es solo una parte de la ecuación.
Esta semana, Anton Chuvakin, antiguo asesor de seguridad de Google, defendió que los defensores deberían rechazar la carrera por la velocidad y centrarse en las invariantes: las reglas que el sistema aplica pase lo que pase. El experto en ciberseguridad Phil Venables respondió:
«Totalmente de acuerdo en que, si tu única respuesta ante los atacantes rápidos es una defensa reactiva rápida, estás perdido. Las invariantes (es decir, una arquitectura de seguridad defensiva sólida aplicada de forma coherente) son fundamentales. Pero la respuesta rápida también tiene su lugar».
Ambos tienen razón. Una buena arquitectura limita el daño cuando se aprovecha una vulnerabilidad, pero no puede eliminarla. Las vulnerabilidades de la semana pasada se encontraban en PHP y Brotli, por lo que incluso un equipo con una arquitectura impecable seguía teniendo esas vulnerabilidades en su pila. Ahí es donde resulta más crucial una respuesta más rápida a la hora de corregirlas.
Pero lo que permitirá a los equipos de seguridad ir un paso por delante es la combinación de la arquitectura y la rapidez de respuesta. Todo el mundo habla de que, para lograrlo, «los defensores deben utilizar los mismos modelos que los atacantes», y eso forma parte de la solución. Sin embargo, lo que marca la diferencia es cómo se integra la inteligencia artificial en el ciclo de vida del desarrollo de software.
En la práctica, el trabajo empieza por la visibilidad. Solo se puede solucionar lo que se ve, y PHP aparecía en lugares donde los equipos no lo esperaban, como imágenes base de contenedores, imágenes de CI, paneles de alojamiento y software de terceros. Saber qué es lo que se ejecuta, incluido lo que no se ha instalado, es lo que permite determinar rápidamente si una vulnerabilidad te afecta.
A partir de ahí, el objetivo es integrar la seguridad desde el principio y garantizar que las correcciones se apliquen con rapidez. Esto implica revisar el código a medida que se escribe, realizar pruebas de penetración en la aplicación y en la red externa mediante IA antes del lanzamiento y de nuevo cada vez que se produzca un cambio, y convertir cada hallazgo en una corrección que una persona pueda revisar. Cuando aún no haya una actualización disponible, o si una actualización pudiera provocar fallos, mantén la versión que estás utilizando e incorpora la corrección a la misma. Los equipos que siguen este procedimiento tienen menos cosas que corregir cuando se da a conocer la siguiente vulnerabilidad, y las correcciones que sí tienen que aplicar se publican antes.
Los defensores también cuentan con algo de lo que carecen los atacantes: el conocimiento de las medidas de seguridad que tienen implantadas.
«La gente siempre dice que el defensor tiene que acertar siempre, mientras que el atacante solo tiene que acertar una vez. Y eso hace que sea muy difícil ser defensor. No es del todo cierto. En esencia, los atacantes no siempre conocen tus múltiples capas de defensa ni la forma en que llevas a cabo la defensa en profundidad», afirmó Willem Delbare, director ejecutivo de Aikido, la semana pasada al referirse a las vulnerabilidades.
«Creo que, por el momento, los defensas siguen teniendo ventaja. Aunque, claro, hay que esforzarse», continuó.
Pasado mañana
«Sin duda, somos capaces de sobrevivir a esto. Todo depende de si somos capaces o no de aprender de nuestros errores». — Jack Hall, «El día de mañana».
Puede que a corto plazo la situación sea complicada, pero creemos que, de todos modos, los que se mantengan a la defensiva saldrán ganando. Se han publicado parches para las versiones compatibles de PHP, muchos de los sitios web que tenían que desconectarse ya lo han hecho y (por ahora) no se ha confirmado ningún ataque masivo. Todos los equipos deberían saber dónde tienen lentitud y dónde hay brechas de seguridad, y los que las solucionen saldrán ganando.
