Durante los últimos dos meses, lideramos una coalición de mantenedores, investigadores y proveedores de seguridad para abordar vulnerabilidades críticas en PHP, un lenguaje de programación de código abierto usado para ejecutar sitios y aplicaciones web. Calif identificó una falla crítica con GPT‑5.6 Sol como parte de nuestra iniciativa Patch the Planet(se abre en una nueva ventana). Wiz también descubrió y reportó ambas vulnerabilidades de forma independiente. Los mantenedores de PHP lideraron las correcciones y su publicación. Nuestros equipos y socios, como Wiz, Cloudflare y otros, aportaron investigación, soporte técnico y coordinación para preparar protecciones antes de la divulgación.
Para las organizaciones que usan PHP, la prioridad ahora es aplicar las correcciones. Compartimos un verificador de versiones de PHP como habilidad de Codex(se abre en una nueva ventana) para ayudar a los operadores a identificar versiones de PHP potencialmente vulnerables y, con las recomendaciones de PHP y de sus proveedores, determinar qué actualizaciones corresponden.
Por la gravedad de estas fallas y el amplio uso de PHP, consideramos que este es uno de los problemas de seguridad de mayor impacto de los últimos tiempos. Esto demuestra cómo la IA puede descubrir fallas de seguridad con impacto a escala de internet, aunque esas mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas ofensivas y exploits.
Hasta donde sabemos, la IA de vanguardia encontró estas vulnerabilidades antes que los atacantes, lo que abrió una ventana de oportunidad para los defensores que permitió a los mantenedores y proveedores de seguridad preparar correcciones y protecciones antes de la divulgación.
Para que más defensores puedan usar estas capacidades, nos comprometimos a destinar 1000 millones de dólares a subsidiar el acceso a Daybreak mediante Daybreak para defensores de primera línea, enfocado en organizaciones que protegen servicios esenciales con recursos de seguridad limitados.
Pese a su gravedad, estas fallas son solo algunas de las vulnerabilidades importantes que ya encontramos y estamos trabajando para corregir. Esperamos que los hallazgos similares aumenten drásticamente en los próximos meses. A partir de nuestra experiencia hasta ahora, compartimos una propuesta de respuesta a vulnerabilidades críticas en software de uso extendido, adecuada para la era de la IA, e invitamos a la comunidad de seguridad a ayudarnos a mejorar este marco. Este enfoque reúne nuestros modelos, nuestra experiencia en seguridad y a los mantenedores para convertir los hallazgos en protecciones y construir una respuesta que pueda escalar a medida que avancen las capacidades de la IA.
Poner en uso una corrección puede requerir adaptarla a versiones anteriores, preparar medidas de mitigación con los proveedores y actualizar sistemas en muchas organizaciones. Un proceso repetible ayuda a esos equipos a actuar con rapidez a medida que se descubren más vulnerabilidades.
A través de Patch the Planet, aportamos experiencia en seguridad y acceso a modelos para apoyar la respuesta de PHP, y colaboramos con mantenedores y socios de investigación para probar correcciones y preparar recomendaciones. También ayudamos a coordinar protecciones para los sistemas afectados con proveedores de infraestructura e involucramos a agencias gubernamentales de ciberseguridad para hacer llegar las recomendaciones a organizaciones críticas. Esto respaldó la respuesta liderada por los mantenedores y ayudó a otros defensores a prepararse.
En algunos casos, los investigadores pueden trabajar directamente con los mantenedores del software para investigar el problema y desarrollar una corrección. Otros casos requieren una respuesta más amplia porque afectan a muchos productos o porque los distribuidores y proveedores de servicios necesitan tiempo para preparar actualizaciones y protecciones. Ese tiempo puede ser escaso si las capacidades de vanguardia no superan por mucho a las de amplia disponibilidad. En esos casos, el marco propuesto puede ayudar a los mantenedores a identificar quiénes deben participar y a coordinar el trabajo. La respuesta puede incluir cinco etapas:
Validar y corregir la vulnerabilidad en el proyecto de origen. El mantenedor, los investigadores y los socios técnicos esenciales confirman el hallazgo, evalúan su impacto, y desarrollan y prueban una corrección. Este proceso incluye pruebas adversarias con modelos de vanguardia para buscar formas de eludir el parche y variantes relacionadas de la vulnerabilidad.
Dar tiempo a las organizaciones afectadas para actuar. Proponemos un marco para evaluar qué organizaciones necesitan información anticipada para preparar protecciones, mientras los mantenedores deciden a quiénes involucrar. Ayudamos a establecer contactos, gestionar acuerdos de intercambio de información y coordinar a los equipos. Un distribuidor podría adaptar una corrección a una versión anterior; un proveedor de alojamiento, probar una mitigación; y un proveedor de seguridad, preparar medidas de detección o prevención, incluidas reglas de firewall de aplicaciones web (WAF).
Coordinar con socios gubernamentales para ayudar a proteger los sistemas críticos. Las agencias gubernamentales cumplen un papel esencial al coordinar una respuesta más amplia y hacer llegar las recomendaciones de seguridad a las organizaciones responsables de infraestructura crítica y otros servicios esenciales. En el caso de PHP, colaboramos con nuestros socios para involucrar a diversas instancias del gobierno de EE. UU., entre ellas la Fuerza de Superinteligencia de la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad (ONCD) y la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA), además de socios internacionales, para apoyar ese esfuerzo.
Preparar actualizaciones para los productos afectados. A medida que se consolidan la corrección, las recomendaciones y los planes de divulgación, los mantenedores pueden involucrar a más distribuidores, proveedores de alojamiento y servicios, equipos de respuesta y operadores para preparar actualizaciones y subsanar brechas de cobertura.
Una vez disponible el parche, publicar recomendaciones y apoyar su implementación. Las recomendaciones públicas ayudan a evaluar la exposición, encontrar actualizaciones oficiales o mitigaciones provisionales y verificar que la corrección esté en funcionamiento. La respuesta continúa mientras los operadores implementan actualizaciones e informan dónde necesitan ayuda.
El marco propuesto considera el papel protector de cada organización, incluida la protección de sus propios sistemas y clientes, el tiempo necesario para actuar y su capacidad para manejar información sensible. Se aplicarían los mismos criterios a organizaciones comparables, y los mantenedores decidirían a quiénes involucrar antes de la divulgación.
Cada participante recibe la información necesaria para su labor de protección, desde registros de red con indicadores de compromiso hasta información más sensible, como exploits funcionales de prueba de concepto. Incluso unos pocos detalles pueden revelar una vulnerabilidad, por lo que sopesamos el riesgo de compartirlos frente a la protección que permiten.
Los equipos que sigan este marco trabajarían con los mantenedores para dar tiempo a los defensores a prepararse y reevaluar los plazos si hay explotación activa en entornos reales, una filtración, un parche público que revele la falla o un mayor riesgo para los usuarios por demoras en la remediación.
El sitio web de Patch the Planet(se abre en una nueva ventana) reúne divulgaciones públicas y recomendaciones para ayudar a los operadores a identificar sistemas afectados, encontrar la actualización adecuada y verificar que el software actualizado funcione correctamente. Para PHP, remite al parche oficial y las instrucciones de actualización de los mantenedores, así como a las investigaciones técnicas de nuestros socios. Las recomendaciones también abarcan mitigaciones provisionales, cuándo recurrir a un proveedor o experto, y copias de seguridad y recuperación. Las protecciones provisionales pueden reducir el riesgo, pero dejaremos claros sus límites y las implicaciones operativas.
Los operadores pueden usar las recomendaciones de CISA sobre priorización y remediación(se abre en una nueva ventana) para evaluar con qué rapidez actuar según la exposición, la explotación y el impacto potencial. Esto puede requerir parches de emergencia, mitigaciones inmediatas o una actualización planificada, junto con una evaluación forense inicial cuando corresponda para determinar si los sistemas ya fueron comprometidos. Las prioridades deben reevaluarse a medida que cambien las condiciones, con una ruta clara hacia una remediación duradera.
La coordinación global depende de las personas que mantienen el software. Muchos proyectos están a cargo de equipos pequeños que revisan informes de seguridad además de realizar sus tareas habituales de desarrollo. Esos equipos necesitan ayuda para distinguir los problemas nuevos de los duplicados, evaluar el impacto y probar correcciones en las versiones con soporte. Apoyamos ese trabajo con financiamiento, acceso a modelos capaces y asistencia directa de ingeniería.
Las potentes capacidades de la IA avanzan en toda la industria, y esperamos que la IA tenga un papel cada vez mayor a la hora de ayudar a los defensores a encontrar vulnerabilidades, monitorear sistemas y responder a amenazas. Estamos invirtiendo en modelos, herramientas y alianzas para ayudar a los defensores a poner en práctica esas capacidades.
Nuestras inversiones incluyen suscripciones para todos los mantenedores a través de Codex para OSS y el patrocinio directo de proyectos como la Fundación Rust(se abre en una nueva ventana) para apoyar a los mantenedores y el trabajo técnico. Cada proyecto establece sus propias prioridades. Las pruebas y los flujos de trabajo de seguridad reutilizables pueden reducir el esfuerzo necesario para abordar futuros hallazgos. Los proyectos de código abierto pueden postularse a Patch the Planet(se abre en una nueva ventana) para recibir apoyo práctico.
También estamos calibrando clasificadores de bloqueo adicionales para Daybreak con el fin de reducir el potencial de uso indebido. Esto exige decisiones difíciles: las salvaguardas destinadas a prevenir abusos también pueden bloquear tareas legítimas de seguridad. Tanto el acceso amplio a modelos capaces como las protecciones eficaces contra el uso indebido son fundamentales. Nuestro objetivo es conservar las capacidades que los defensores necesitan para encontrar y corregir vulnerabilidades, al tiempo que limitamos los usos dañinos. Seguiremos ajustando ese equilibrio a medida que avancen las capacidades y aprendamos de cómo se usan estas herramientas.
A medida que los modelos se vuelven más capaces, las oportunidades van más allá de encontrar y corregir vulnerabilidades individuales. Queremos ayudar a los ingenieros a desarrollar software más seguro desde el inicio. Las mejoras en un componente de uso extendido pueden prevenir fallas o limitar su impacto en muchos productos y servicios.
La IA puede ayudar a los ingenieros a comprender el código existente, preparar cambios y desarrollar pruebas, mientras los mantenedores y expertos en seguridad verifican que esos cambios conserven el comportamiento del que dependen los usuarios. Vemos oportunidades en varias áreas:
Código seguro desde el inicio. Los modelos de programación pueden ayudar a los desarrolladores a elegir configuraciones predeterminadas más seguras, usar correctamente las bibliotecas de seguridad y detectar patrones de riesgo mientras escriben código. Prevenir vulnerabilidades durante el desarrollo implica menos correcciones de emergencia para mantenedores y usuarios.
Software con seguridad de memoria. Migrar componentes críticos a lenguajes con seguridad de memoria puede eliminar categorías comunes de errores de memoria. La IA puede ayudar con las migraciones, acompañadas de pruebas y revisiones de expertos para verificar el comportamiento y la compatibilidad.
Verificación formal. Las demostraciones matemáticas pueden acreditar que los componentes críticos cumplen propiedades de seguridad específicas bajo determinados supuestos. Aplicar estos métodos a componentes de uso extendido podría ayudar a descartar categorías de vulnerabilidades en los servicios y la infraestructura crítica que dependen de ellos.
Aislamiento más sólido. Los sistemas necesitan protección contra vulnerabilidades que aún no se han encontrado ni corregido. Ejecutar software que procesa archivos, imágenes o contenido multimedia no confiables en entornos aislados con restricciones estrictas puede limitar los daños si ese software se ve comprometido. La IA puede ayudar a los ingenieros a probar y reforzar tecnologías de aislamiento de uso extendido, lo que mejora la protección en muchas aplicaciones.
Compartimos nuestro enfoque para que mantenedores, investigadores, equipos de respuesta, proveedores y operadores puedan ayudar a hacerlo viable. Queremos entender en qué casos sería útil, en cuáles podría añadir demoras o cargas de trabajo y qué pasamos por alto. Los ejemplos de divulgaciones anteriores serían especialmente útiles.
Nos interesan especialmente estos temas:
Plazos de divulgación. ¿Cuánto tiempo necesitan los mantenedores, operadores y defensores para preparar e implementar correcciones confiables? ¿Qué evidencia debería motivar una divulgación anticipada, en especial cuando algunos usuarios pueden recibir protección antes que otros?
Aplicación de parches de emergencia. ¿En qué casos, si los hay, deberían los gobiernos u otros operadores aprovechar una vulnerabilidad para aplicar parches a sistemas propios o que tienen autorización para administrar, tras perder el acceso administrativo? ¿Qué salvaguardas deberían aplicarse? Podemos imaginar un futuro en el que se escanee toda internet de forma continua en busca de vulnerabilidades conocidas y, al detectar alguna, se notifique a los propietarios del sitio o se aplique un parche al sistema.
Aviso anticipado. ¿Quiénes necesitan una advertencia anticipada para tomar medidas de protección útiles, incluidos los defensores que podríamos pasar por alto? ¿Cuándo funcionan mejor las notificaciones por etapas que avisar a un grupo más amplio a la vez, y cómo deberíamos sopesar la cobertura frente al riesgo de filtración?
Paquetes de software seguros de forma predeterminada. ¿Cómo podemos ayudar a identificar y corregir vulnerabilidades en paquetes derivados mientras están pendientes las correcciones del proyecto de origen, o adaptar correcciones a versiones anteriores que ya no reciben actualizaciones de seguridad? ¿Qué pruebas y mantenimiento harían de estos paquetes opciones confiables cuando no sea viable actualizar a tiempo?
También agradecemos recomendaciones de expertos independientes en seguridad que puedan revisar el enfoque, cuestionar sus supuestos e identificar carencias. Tus aportes nos ayudarán a perfeccionar la respuesta y priorizar el apoyo. Comparte tus comentarios aquí(se abre en una nueva ventana).
