En los últimos dos meses, hemos liderado una coalición de mantenedores, investigadores y proveedores de seguridad para corregir vulnerabilidades críticas en PHP, un lenguaje de programación de código abierto utilizado en sitios y aplicaciones web. Calif identificó un fallo crítico con GPT‑5.6 Sol como parte de nuestra iniciativa Patch the Planet(se abre en una ventana nueva). Wiz también descubrió y notificó ambas vulnerabilidades de forma independiente. Los mantenedores de PHP lideraron las correcciones y su publicación. Nuestros equipos y socios como Wiz y Cloudflare, entre otros, aportaron investigación, asistencia técnica y coordinación para preparar medidas de protección antes de divulgar los fallos.
Para las organizaciones que usan PHP, la prioridad ahora es aplicar las correcciones. Compartimos un comprobador de versiones de PHP como habilidad de Codex(se abre en una ventana nueva) para ayudar a los operadores a identificar versiones de PHP potencialmente vulnerables y, junto con las indicaciones de PHP y sus proveedores, determinar qué actualizaciones aplicar.
Por la gravedad de estos fallos y el uso generalizado de PHP, consideramos que este es uno de los problemas de seguridad de mayor impacto de los últimos tiempos. Esto demuestra cómo la IA puede descubrir fallos de seguridad con repercusiones a escala de internet, aunque esas mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas ofensivas y exploits.
Hasta donde sabemos, la IA de vanguardia detectó estas vulnerabilidades antes que los atacantes, abriendo una ventana de oportunidad para los defensores que permitió a mantenedores y proveedores de seguridad preparar correcciones y protecciones antes de su divulgación.
Para que más defensores puedan usar estas capacidades, nos hemos comprometido a destinar 1000 millones de dólares a subvencionar el acceso a Daybreak mediante Daybreak para defensores de primera línea, dirigido a organizaciones con recursos de seguridad limitados que protegen servicios esenciales.
Pese a su importancia, estos fallos son solo algunas de las vulnerabilidades graves que ya hemos encontrado y estamos trabajando para corregir. Prevemos que los hallazgos similares aumenten considerablemente en los próximos meses. A partir de nuestra experiencia, proponemos un enfoque adaptado a la era de la IA para responder a vulnerabilidades críticas en software de uso generalizado, y pedimos a la comunidad de seguridad que nos ayude a mejorar este marco. Reúne nuestros modelos, conocimientos de seguridad y mantenedores para convertir los hallazgos en protección y crear una respuesta que pueda ampliarse a medida que avancen las capacidades de la IA.
Poner en uso una corrección puede exigir adaptarla a versiones anteriores, preparar mitigaciones con los proveedores y actualizar sistemas en numerosas organizaciones. Un proceso repetible ayuda a esos equipos a actuar con rapidez conforme se descubren más vulnerabilidades.
A través de Patch the Planet, aportamos conocimientos de seguridad y acceso a modelos para apoyar la respuesta de PHP, y colaboramos con mantenedores y socios de investigación para probar correcciones y preparar recomendaciones. También ayudamos a coordinar las protecciones para los sistemas afectados con proveedores de infraestructura e implicamos a organismos públicos de ciberseguridad para que las recomendaciones llegaran a organizaciones esenciales. Así respaldamos la respuesta liderada por los mantenedores y ayudamos a otros defensores a prepararse.
Ante algunos hallazgos, los investigadores pueden trabajar directamente con los mantenedores del software para investigar el problema y desarrollar una corrección. Otros requieren una respuesta más amplia porque afectan a muchos productos o porque distribuidores y proveedores de servicios necesitan tiempo para preparar actualizaciones y protecciones. Ese tiempo puede ser escaso si las capacidades de vanguardia no aventajan demasiado a las que están ampliamente disponibles. En esos casos, el marco propuesto puede ayudar a los mantenedores a identificar quién debe participar y a coordinar el trabajo. La respuesta puede constar de cinco etapas:
Validar y corregir la vulnerabilidad en el proyecto de origen. El mantenedor, los investigadores y los socios técnicos esenciales confirman el hallazgo, evalúan su impacto y desarrollan y prueban una corrección. Este proceso incluye pruebas adversarias con modelos de vanguardia para buscar formas de eludir el parche y variantes relacionadas con la vulnerabilidad.
Dar tiempo a las organizaciones afectadas para actuar. Proponemos un marco para evaluar qué organizaciones necesitan información anticipada para preparar protecciones, aunque son los mantenedores quienes deciden a quién implicar. Ayudamos a establecer contactos, acordar el intercambio de información y coordinar a los equipos. Un distribuidor podría adaptar una corrección a una versión anterior; un proveedor de alojamiento, probar una mitigación; y un proveedor de seguridad, preparar medidas de detección o prevención, incluidas reglas de cortafuegos de aplicaciones web (WAF).
Coordinarse con socios gubernamentales para ayudar a proteger sistemas críticos. Los organismos públicos son esenciales para coordinar una respuesta más amplia y hacer llegar las recomendaciones de seguridad a las organizaciones responsables de infraestructuras críticas y otros servicios esenciales. En el caso de PHP, colaboramos con nuestros socios para implicar a varios órganos del Gobierno estadounidense, como la Fuerza de Superinteligencia de la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad (ONCD) y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), así como a socios internacionales para apoyar esta labor.
Preparar actualizaciones para los productos afectados. A medida que se consolidan la corrección, las recomendaciones y los planes de divulgación, los mantenedores pueden implicar a más distribuidores, proveedores de alojamiento y servicios, equipos de respuesta y operadores para preparar actualizaciones y cubrir carencias de protección.
Una vez disponible el parche, publicar recomendaciones y apoyar su despliegue. Las recomendaciones públicas ayudan a evaluar la exposición, encontrar actualizaciones oficiales o mitigaciones provisionales y comprobar que la corrección está en uso. La respuesta continúa mientras los operadores despliegan actualizaciones e indican dónde necesitan ayuda.
El marco propuesto contempla el papel protector de cada organización, incluida la protección de sus propios sistemas y clientes, el tiempo que necesita para actuar y su capacidad para gestionar información sensible. Se aplicarían los mismos criterios a organizaciones comparables, y los mantenedores decidirían a quién implicar antes de la divulgación.
Cada participante recibe la información necesaria para su labor de protección, desde registros de red con indicadores de compromiso hasta pruebas de concepto funcionales de exploits, más sensibles. Incluso unos pocos detalles pueden revelar una vulnerabilidad, por lo que sopesamos el riesgo de compartirlos frente a la protección que permiten.
Los equipos que siguieran este marco trabajarían con los mantenedores para dar tiempo a los defensores a prepararse y revisarían los plazos si hubiera explotación activa en entornos reales, una filtración, un parche público que revelase el fallo o un mayor riesgo para los usuarios por retrasos en la corrección.
El sitio web de Patch the Planet(se abre en una ventana nueva) reúne divulgaciones públicas y recomendaciones para ayudar a los operadores a identificar sistemas afectados, encontrar la actualización adecuada y verificar que el software actualizado funciona correctamente. Para PHP, remite a las instrucciones oficiales de los mantenedores para aplicar parches y actualizar, así como a la investigación técnica de nuestros socios. Las recomendaciones también abarcan mitigaciones provisionales, cuándo recurrir a un proveedor o experto, y copias de seguridad y recuperación. Las protecciones provisionales pueden reducir el riesgo, pero explicaremos sus límites y las contrapartidas operativas que conllevan.
Los operadores pueden usar las recomendaciones de CISA sobre priorización y corrección(se abre en una ventana nueva) para evaluar con qué rapidez actuar según la exposición, la explotación y el posible impacto. Esto puede requerir parches de emergencia, mitigaciones inmediatas o una actualización planificada, junto con una evaluación forense inicial cuando proceda para determinar si los sistemas ya se han visto comprometidos. Las prioridades deben revisarse cuando cambien las condiciones, con una vía clara hacia una solución duradera.
La coordinación global depende de quienes mantienen el software. Muchos proyectos están a cargo de equipos pequeños que revisan informes de seguridad además de ocuparse del desarrollo habitual. Estos equipos necesitan ayuda para distinguir los problemas nuevos de los duplicados, evaluar su impacto y probar las correcciones en las versiones con soporte. Apoyamos esa labor con financiación, acceso a modelos potentes y asistencia técnica directa.
Las capacidades avanzadas de IA progresan en todo el sector, y prevemos que la IA desempeñe un papel cada vez mayor a la hora de ayudar a los defensores a encontrar vulnerabilidades, supervisar sistemas y responder a amenazas. Invertimos en modelos, herramientas y alianzas para ayudar a los defensores a aprovechar esas capacidades.
Nuestras inversiones incluyen suscripciones para todos los mantenedores a través de Codex para OSS y el patrocinio directo de proyectos como la Fundación Rust(se abre en una ventana nueva) para apoyar a los mantenedores y el trabajo técnico. Cada proyecto establece sus propias prioridades. Las pruebas y los flujos de trabajo de seguridad reutilizables pueden reducir el esfuerzo necesario para gestionar futuros hallazgos. Los proyectos de código abierto pueden solicitar participar en Patch the Planet(se abre en una ventana nueva) para recibir apoyo práctico.
También estamos calibrando clasificadores de bloqueo adicionales para Daybreak con el fin de reducir el riesgo de uso indebido. Esto exige tomar decisiones difíciles: las salvaguardas destinadas a prevenir abusos también pueden bloquear tareas de seguridad legítimas. Tanto el acceso amplio a modelos potentes como las protecciones eficaces contra el uso indebido son fundamentales. Nuestro objetivo es preservar las capacidades que los defensores necesitan para encontrar y corregir vulnerabilidades, a la vez que limitamos los usos dañinos. Seguiremos afinando ese equilibrio a medida que avancen las capacidades y aprendamos de cómo se utilizan estas herramientas.
A medida que los modelos ganan capacidad, las oportunidades van más allá de encontrar y corregir vulnerabilidades individuales. Queremos ayudar a los ingenieros a crear software más seguro desde el principio. Mejorar un componente de uso generalizado puede prevenir fallos o limitar su impacto en numerosos productos y servicios.
La IA puede ayudar a los ingenieros a comprender el código existente, preparar cambios y desarrollar pruebas, mientras los mantenedores y expertos en seguridad verifican que esos cambios preservan el funcionamiento del que dependen los usuarios. Vemos oportunidades en varios ámbitos:
Código seguro desde el principio. Los modelos de programación pueden ayudar a los desarrolladores a elegir opciones predeterminadas más seguras, usar correctamente las bibliotecas de seguridad y detectar patrones de riesgo mientras escriben código. Prevenir vulnerabilidades durante el desarrollo supone menos correcciones de emergencia para mantenedores y usuarios.
Software con seguridad de memoria. Migrar componentes críticos a lenguajes con seguridad de memoria puede eliminar categorías habituales de errores de memoria. La IA puede ayudar con las migraciones, acompañadas de pruebas y revisiones de expertos para comprobar el funcionamiento y la compatibilidad.
Verificación formal. Las demostraciones matemáticas pueden acreditar que los componentes críticos cumplen determinadas propiedades de seguridad bajo supuestos explícitos. Aplicar estos métodos a componentes de uso generalizado podría ayudar a descartar categorías de vulnerabilidades en los servicios e infraestructuras críticas que dependen de ellos.
Aislamiento más sólido. Los sistemas necesitan protección frente a vulnerabilidades que aún no se han descubierto o corregido. Ejecutar el software que procesa archivos, imágenes o contenido multimedia no fiables en entornos aislados con restricciones estrictas puede limitar los daños si se ve comprometido. La IA puede ayudar a los ingenieros a probar y reforzar tecnologías de aislamiento de uso generalizado, mejorando la protección de numerosas aplicaciones.
Compartimos nuestro enfoque para que mantenedores, investigadores, equipos de respuesta, proveedores y operadores puedan ayudarnos a hacerlo viable. Queremos entender dónde resultaría útil, dónde podría generar retrasos o cargas adicionales y qué hemos pasado por alto. Los ejemplos de divulgaciones anteriores serían especialmente útiles.
Nos interesan especialmente estos aspectos:
Plazos de divulgación. ¿Cuánto tiempo necesitan mantenedores, operadores y defensores para preparar y desplegar correcciones fiables? ¿Qué indicios deberían motivar una divulgación anticipada, especialmente cuando es posible proteger a algunos usuarios antes que a otros?
Aplicación de parches de emergencia. ¿En qué circunstancias, si las hubiera, deberían los gobiernos u otros operadores aprovechar una vulnerabilidad para aplicar parches a sistemas propios o que están autorizados a gestionar tras perder el acceso de administrador? ¿Qué salvaguardas deberían aplicarse? Podemos imaginar un escenario futuro con análisis continuos de todo internet en busca de vulnerabilidades conocidas, en el que, al detectarse una, se avisara a los propietarios del sitio o se aplicara un parche al sistema.
Aviso anticipado. ¿Quién necesita un aviso anticipado para tomar medidas de protección útiles, incluidos los defensores que podríamos pasar por alto? ¿Cuándo funcionan mejor las notificaciones escalonadas que avisar a un grupo más amplio a la vez, y cómo deberíamos sopesar la cobertura frente al riesgo de filtración?
Paquetes de software seguros por defecto. ¿Cómo podemos ayudar a identificar y corregir vulnerabilidades en paquetes derivados mientras se esperan las correcciones de los proyectos de origen, o adaptar correcciones a versiones antiguas que ya no reciben actualizaciones de seguridad? ¿Qué pruebas y tareas de mantenimiento harían de estos paquetes opciones fiables cuando no sea viable actualizar a tiempo?
También agradecemos recomendaciones de expertos independientes en seguridad que puedan revisar el enfoque, cuestionar sus supuestos e identificar carencias. Tus aportaciones nos ayudarán a perfeccionar la respuesta y priorizar el apoyo. Comparte tus comentarios aquí(se abre en una ventana nueva).
