En los últimos dos meses, lideramos una coalición de mantenedores, investigadores y proveedores de seguridad para abordar vulnerabilidades críticas en PHP, un lenguaje de programación de código abierto utilizado para ejecutar sitios web y aplicaciones web. Calif identificó una falla crítica utilizando GPT‑5.6 Sol como parte de nuestra Patch the Planet(abre en una nueva ventana) iniciativa, y Wiz también descubrió y reportó de manera independiente ambas vulnerabilidades. Los mantenedores de PHP lideraron las correcciones y el lanzamiento, con nuestros equipos y socios como Wiz, Cloudflare y otros contribuyendo con investigación, soporte técnico y coordinación para preparar protecciones antes de la divulgación.
Para las organizaciones que usan PHP, la prioridad ahora es aplicar las correcciones. Estamos compartiendo un verificador de versiones de PHP(abre en una nueva ventana) y lanzaremos una habilidad de Codex acompañante para ayudar a los operadores a identificar versiones de PHP potencialmente vulnerables y, junto con la orientación de PHP y de sus proveedores, determinar qué actualizaciones corresponden.
Dada la gravedad de estas fallas y el uso generalizado de PHP, consideramos que este es uno de los problemas de seguridad más impactantes de la memoria reciente. Destaca cómo la IA puede descubrir fallas de seguridad con impacto a escala de internet, pero las mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos.
Hasta donde sabemos, la IA de frontera encontró estas vulnerabilidades antes que los atacantes, abriendo una Ventana del Defensor para que los mantenedores y proveedores de seguridad preparen correcciones y protecciones antes de la divulgación.
Para ayudar a más defensores a utilizar estas capacidades, nos hemos comprometido a aportar $1 mil millones en acceso subvencionado a Daybreak a través de Daybreak for Frontline Defenders, centrado en organizaciones con recursos de seguridad limitados que protegen servicios esenciales.
Por significativos que son, estos errores se encuentran entre las varias vulnerabilidades importantes que ya hemos encontrado y en las que trabajamos para corregir, y esperamos que hallazgos similares aumenten drásticamente en los próximos meses. Basándonos en nuestra experiencia hasta ahora, compartimos un enfoque propuesto, apropiado para la era de la IA, para responder a vulnerabilidades críticas en software de uso generalizado, y pedimos a la comunidad de seguridad que ayude a mejorar este marco. Reúne nuestros modelos, la experiencia en seguridad y a los mantenedores para ayudar a convertir los hallazgos en protección y construir una respuesta que pueda escalar a medida que avanzan las capacidades de la IA.
Coordinando una respuesta global
Poner una corrección en uso puede significar adaptarla a versiones antiguas, preparar mitigaciones de los proveedores y actualizar sistemas en muchas organizaciones. Un proceso repetible ayuda a esos equipos a actuar rápidamente a medida que se descubren más vulnerabilidades.
A través de Patch the Planet, aportamos experiencia en seguridad y acceso a modelos para apoyar la respuesta de PHP, y trabajamos con mantenedores y socios de investigación para probar las correcciones y preparar la orientación. También ayudamos a coordinar con proveedores de infraestructura las protecciones para los sistemas afectados e involucramos a agencias gubernamentales de ciberseguridad para que la orientación llegara a las organizaciones críticas. Esto respaldó la respuesta liderada por los mantenedores y ayudó a otros defensores a prepararse.
Para algunos hallazgos, los investigadores pueden trabajar directamente con los mantenedores del software para investigar el problema y desarrollar una corrección. Otros requieren una respuesta más amplia porque afectan a muchos productos o porque los distribuidores y proveedores de servicios necesitan tiempo (que puede ser escaso si las capacidades de frontera no están muy por delante de las que están disponibles de forma generalizada) para preparar actualizaciones y protecciones. En esos casos, el marco propuesto puede ayudar a los mantenedores a identificar quién debe participar y coordinar el trabajo. La respuesta puede implicar cinco etapas:
Validar y corregir la vulnerabilidad upstream. El mantenedor, los investigadores y los socios técnicos esenciales confirman el hallazgo, evalúan su impacto y desarrollan y prueban una corrección. Este proceso incluye pruebas adversariales con modelos de frontera para buscar formas de eludir el parche y variantes relacionadas de la vulnerabilidad.
Dar tiempo a las organizaciones afectadas para actuar. Proponemos un marco para considerar qué organizaciones necesitan información anticipada para preparar protecciones, mientras que los mantenedores deciden a quién involucrar. Ayudamos con el contacto, los acuerdos de intercambio de información y la coordinación entre equipos. Un distribuidor podría adaptar una corrección para una versión antigua, un proveedor de alojamiento podría probar una mitigación, y un proveedor de seguridad podría preparar medidas de detección o prevención, incluidas reglas de firewall de aplicaciones web (WAF).
Coordinarse con socios gubernamentales para ayudar a proteger los sistemas críticos. Las agencias gubernamentales desempeñan un papel esencial en la coordinación de una respuesta más amplia y en ayudar a que la orientación de seguridad llegue a las organizaciones responsables de la infraestructura crítica y otros servicios esenciales. En el caso de PHP, trabajamos, en colaboración con nuestros socios, para involucrar a múltiples partes del gobierno de los EE. UU., incluida la Super Intelligence Force de la Casa Blanca, la Office of the National Cyber Director (ONCD), la Cybersecurity and Infrastructure Security Agency (CISA), así como a socios internacionales para apoyar ese esfuerzo.
Prepare actualizaciones para los productos afectados. A medida que los planes de corrección, orientación y divulgación se vuelvan estables, los mantenedores pueden involucrar a distribuidores adicionales, proveedores de alojamiento y servicios, equipos de respuesta y operadores para preparar actualizaciones y abordar las brechas de cobertura.
Una vez que haya un parche disponible, publique orientación y apoye la implementación. La orientación pública ayuda a las personas a evaluar su exposición, encontrar actualizaciones autorizadas o mitigaciones provisionales, y verificar que una corrección esté en funcionamiento. La respuesta continúa a medida que los operadores implementan actualizaciones e informan dónde necesitan ayuda.
El marco propuesto considera el rol protector de una organización, incluida la protección de sus propios sistemas y clientes, el tiempo necesario para actuar y su capacidad para manejar información sensible. Los mismos criterios se aplicarían a organizaciones comparables, con los mantenedores decidiendo a quién involucrar antes de la divulgación.
Cada participante recibe la información necesaria para llevar a cabo su trabajo protector, desde registros de red con indicadores de compromiso hasta exploits de prueba de concepto más sensibles. Incluso los detalles limitados pueden revelar una vulnerabilidad, por lo que sopesamos el riesgo de compartirlos frente a la protección que permiten.
Los equipos que sigan este marco trabajarían con los mantenedores para dar tiempo a los defensores a prepararse y reevaluar el cronograma si hay explotación activa en la naturaleza, una filtración, un parche público revelador o un mayor riesgo para los usuarios debido a una remediación estancada.
El sitio web de Patch the Planet(abre en una nueva ventana) reúne divulgaciones públicas y orientación para ayudar a los operadores a identificar sistemas afectados, encontrar la actualización correcta y verificar que el software actualizado funcione correctamente. Para PHP, señala las instrucciones oficiales de parcheo y actualización de los mantenedores y la investigación técnica de nuestros socios. La orientación también cubre mitigaciones provisionales, cuándo involucrar a un proveedor o experto, y copias de seguridad y recuperación. Las protecciones provisionales pueden reducir el riesgo, pero dejaremos claros sus límites y sus concesiones operativas.
Los operadores pueden usar la guía de CISA sobre priorización y remediación(abre en una nueva ventana) para evaluar qué tan rápido actuar según la exposición, la explotación y el impacto potencial. Eso puede significar parcheo de emergencia, mitigación inmediata o una actualización planificada, junto con un análisis forense cuando esté justificado para evaluar si los sistemas ya han sido comprometidos. Las prioridades deben reevaluarse a medida que cambian las condiciones, con un camino claro hacia una remediación duradera.
Dar a los mantenedores la capacidad y los recursos para responder
La coordinación global depende de las personas que mantienen el software. Muchos proyectos son gestionados por equipos pequeños que revisan informes de seguridad junto con el desarrollo habitual. Esos equipos necesitan ayuda para separar los problemas nuevos de los duplicados, evaluar el impacto y probar correcciones en las versiones compatibles. Apoyamos ese trabajo con financiamiento, acceso a modelos capaces y ayuda práctica de ingeniería.
Las capacidades de IA potentes están avanzando en toda la industria, y esperamos que la IA desempeñe un papel creciente para ayudar a los defensores a encontrar vulnerabilidades, monitorear sistemas y responder a amenazas. Estamos invirtiendo en modelos, herramientas y asociaciones para ayudar a los defensores a poner esas capacidades en marcha.
Nuestras inversiones incluyen suscripciones para todos los mantenedores a través de Codex para OSS y patrocinio directo de proyectos como la Rust Foundation(abre en una nueva ventana) para mantenedores y trabajo técnico. Cada proyecto establece sus propias prioridades. Las pruebas reutilizables y los flujos de trabajo de seguridad pueden reducir el esfuerzo necesario para manejar hallazgos futuros. Los proyectos de código abierto pueden postular a Patch the Planet(abre en una nueva ventana) para recibir apoyo práctico.
También estamos calibrando clasificadores de bloqueo adicionales para Daybreak para ayudar a reducir el potencial de uso indebido. Esto implica concesiones difíciles: las salvaguardas destinadas a prevenir el abuso también pueden bloquear trabajo de seguridad legítimo. El acceso amplio a modelos capaces y las protecciones efectivas contra el uso indebido son ambos críticos. Nuestro objetivo es preservar las capacidades que los defensores necesitan para encontrar y corregir vulnerabilidades, al tiempo que limitamos el uso dañino. Seguiremos refinando ese equilibrio a medida que las capacidades avancen y aprendamos de cómo se usan estas herramientas.
Construir fundamentos de software más seguros
A medida que los modelos se vuelven más capaces, la oportunidad va más allá de encontrar y corregir vulnerabilidades individuales. Queremos ayudar a los ingenieros a construir software más seguro desde el principio. Las mejoras en un componente ampliamente utilizado pueden prevenir errores o limitar su impacto en muchos productos y servicios.
La IA puede ayudar a los ingenieros a comprender el código existente, preparar cambios y desarrollar pruebas, mientras que los mantenedores y expertos en seguridad verifican que esos cambios preserven el comportamiento del que dependen los usuarios. Vemos oportunidades en varias áreas:
Código seguro desde el principio. Los modelos de programación pueden ayudar a los desarrolladores a elegir valores predeterminados más seguros, usar correctamente las bibliotecas de seguridad y detectar patrones riesgosos mientras escriben. Prevenir vulnerabilidades durante el desarrollo significa menos correcciones de emergencia para los mantenedores y los usuarios.
Software con seguridad de memoria. Mover componentes críticos a lenguajes con seguridad de memoria puede eliminar clases comunes de errores de memoria. La IA puede ayudar con las migraciones, con pruebas y revisión de expertos para verificar el comportamiento y la compatibilidad.
Verificación formal. Las pruebas matemáticas pueden demostrar que componentes críticos cumplen propiedades de seguridad especificadas bajo supuestos declarados. Aplicar estos métodos a componentes ampliamente utilizados podría ayudar a descartar clases de vulnerabilidades en todos los servicios e infraestructura crítica que dependen de ellos.
Aislamiento más fuerte. Los sistemas necesitan protección contra vulnerabilidades que aún no se han encontrado ni corregido. Ejecutar software que procesa archivos, imágenes o medios no confiables en entornos de prueba (sandboxes) con restricciones estrictas puede limitar el daño en caso de verse comprometido. La IA puede ayudar a los ingenieros a probar y fortalecer tecnologías de sandboxing ampliamente utilizadas, mejorando las protecciones en muchas aplicaciones.
Ayúdanos a mejorar este enfoque
Compartimos nuestro enfoque para que los mantenedores, investigadores, equipos de respuesta, proveedores y operadores puedan ayudar a hacerlo viable. Queremos entender dónde sería útil, dónde podría añadir retraso o carga, y qué nos hemos pasado por alto. Los ejemplos de divulgaciones pasadas serían especialmente útiles.
Estamos especialmente interesados en:
Ventanas de divulgación. ¿Cuánto tiempo necesitan los mantenedores, operadores y defensores para preparar e implementar correcciones confiables? ¿Qué evidencia debería desencadenar una divulgación anticipada, especialmente cuando algunos usuarios pueden protegerse antes que otros?
Parcheo de emergencia. ¿Cuándo, si es que alguna vez, deberían los gobiernos u otros operadores usar una vulnerabilidad para parchear sistemas que poseen o que están autorizados a administrar tras perder el acceso administrativo? ¿Qué salvaguardas deberían aplicarse? Podemos imaginar un estado final de escaneo continuo en toda la red de vulnerabilidades conocidas, con la notificación a los propietarios de los sitios cuando se detecte una, o el parcheo del sistema.
Aviso anticipado. ¿Quién necesita una advertencia previa para tomar una acción protectora útil, incluidos los defensores que podríamos pasar por alto? ¿Cuándo funcionan mejor las notificaciones escalonadas que notificar a un grupo más amplio de una vez, y cómo deberíamos sopesar la cobertura frente al riesgo de fuga?
Paquetes de software seguros por defecto. ¿Cómo podemos ayudar a identificar y corregir vulnerabilidades en paquetes descendentes mientras las correcciones ascendentes están pendientes, o adaptar (backport) correcciones a versiones anteriores que ya no reciben actualizaciones de seguridad? ¿Qué pruebas y mantenimiento harían que estos paquetes sean opciones confiables cuando una actualización oportuna no sea viable?
También agradecemos recomendaciones de expertos independientes en seguridad que puedan revisar el enfoque, cuestionar sus supuestos e identificar brechas. Sus aportes nos ayudarán a refinar la respuesta y priorizar el apoyo. Comparta sus comentarios aquí(se abre en una nueva ventana).