Durante los últimos dos meses, lideramos una coalición de mantenedores, investigadores y proveedores de seguridad para abordar vulnerabilidades críticas en PHP, un lenguaje de programación de código abierto utilizado para ejecutar sitios web y aplicaciones web. Calif identificó una falla crítica usando GPT‑5.6 Sol como parte de nuestro Patch the Planet(se abre en una nueva ventana) iniciativa, con Wiz también descubriendo e informando de forma independiente ambas vulnerabilidades. Los mantenedores de PHP lideraron las correcciones y el lanzamiento, con nuestros equipos y socios como Wiz, Cloudflare y otros contribuyendo con investigación, soporte técnico y coordinación para preparar protecciones antes de la divulgación.
Para las organizaciones que usan PHP, la prioridad ahora es aplicar las correcciones. Compartimos un verificador de versiones de PHP como una skill de Codex(se abre en una nueva ventana) para ayudar a los operadores a identificar versiones de PHP potencialmente vulnerables y, junto con la orientación de PHP y de sus proveedores, determinar qué actualizaciones aplican.
Dada la gravedad de estas fallas y el uso generalizado de PHP, consideramos que este es uno de los problemas de seguridad más impactantes de la memoria reciente. Destaca cómo la IA puede descubrir fallas de seguridad con impacto a escala de internet, pero las mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos.
Hasta donde sabemos, la IA de frontera encontró estas vulnerabilidades antes que los atacantes, abriendo una Ventana del Defensor para que los mantenedores y proveedores de seguridad preparen correcciones y protecciones antes de la divulgación.
Para ayudar a más defensores a usar estas capacidades, hemos comprometido $1 mil millones en acceso subsidiado a Daybreak a través de Daybreak for Frontline Defenders, enfocado en organizaciones con recursos de seguridad limitados que protegen servicios esenciales.
Por significativos que son, estos errores se encuentran entre varias vulnerabilidades importantes que ya hemos encontrado y en las que estamos trabajando para corregir, y esperamos que hallazgos similares aumenten drásticamente en los próximos meses. Sobre la base de nuestra experiencia hasta ahora, compartimos un enfoque propuesto, apropiado para la era de la IA, para responder a vulnerabilidades críticas en software de uso generalizado, y pedimos a la comunidad de seguridad que ayude a mejorar este marco. Este reúne nuestros modelos, experiencia en seguridad y mantenedores para ayudar a convertir los hallazgos en protección y construir una respuesta que pueda escalar a medida que avanzan las capacidades de la IA.
Coordinando una respuesta global
Poner una corrección en uso puede significar adaptarla a versiones anteriores, preparar mitigaciones de los proveedores y actualizar sistemas en muchas organizaciones. Un proceso repetible ayuda a esos equipos a actuar rápidamente a medida que se descubren más vulnerabilidades.
A través de Patch the Planet, contribuimos con experiencia en seguridad y acceso a modelos para apoyar la respuesta de PHP, y trabajamos con mantenedores y socios de investigación para probar las correcciones y preparar orientación. También ayudamos a coordinarnos con proveedores de infraestructura sobre protecciones para los sistemas afectados e involucramos a agencias gubernamentales de ciberseguridad para ayudar a que la orientación llegara a las organizaciones críticas. Esto apoyó la respuesta liderada por los mantenedores y ayudó a otros defensores a prepararse.
Para algunos hallazgos, los investigadores pueden trabajar directamente con los mantenedores del software para investigar el problema y desarrollar una corrección. Otros requieren una respuesta más amplia porque afectan a muchos productos o porque los distribuidores y proveedores de servicios necesitan tiempo (que puede escasear si las capacidades de frontera no están demasiado adelantadas respecto a las que están ampliamente disponibles) para preparar actualizaciones y protecciones. En esos casos, el marco propuesto puede ayudar a los mantenedores a identificar quién debe participar y coordinar el trabajo. La respuesta puede involucrar cinco etapas:
Validar y corregir la vulnerabilidad upstream. El mantenedor, los investigadores y los socios técnicos esenciales confirman el hallazgo, evalúan su impacto y desarrollan y prueban una corrección. Este proceso incluye pruebas adversarias con modelos de frontera para buscar maneras de eludir el parche y variantes relacionadas de la vulnerabilidad.
Dar tiempo a las organizaciones afectadas para actuar. Proponemos un marco para considerar qué organizaciones necesitan información anticipada para preparar protecciones, mientras los mantenedores deciden a quién involucrar. Ayudamos con el alcance, los acuerdos de intercambio de información y la coordinación entre equipos. Un distribuidor podría adaptar una corrección para una versión anterior, un proveedor de alojamiento podría probar una mitigación, y un proveedor de seguridad podría preparar medidas de detección o prevención, incluidas reglas de firewall de aplicaciones web (WAF).
Coordinarse con socios gubernamentales para ayudar a proteger los sistemas críticos. Las agencias gubernamentales desempeñan un papel esencial en la coordinación de una respuesta más amplia y en ayudar a que la orientación de seguridad llegue a las organizaciones responsables de la infraestructura crítica y otros servicios esenciales. En el caso de PHP, trabajamos, en colaboración con nuestros socios, para involucrar a múltiples partes del gobierno de EE. UU., incluida la Super Intelligence Force de la Casa Blanca, la Office of the National Cyber Director (ONCD), la Cybersecurity and Infrastructure Security Agency (CISA), así como socios internacionales para apoyar ese esfuerzo.
Preparar actualizaciones en todos los productos afectados. A medida que los planes de corrección, orientación y divulgación se estabilicen, los mantenedores pueden involucrar a distribuidores adicionales, proveedores de alojamiento y servicios, equipos de respuesta y operadores para preparar actualizaciones y cubrir brechas en la cobertura.
Una vez que haya un parche disponible, publicar orientación y apoyar la implementación. La orientación pública ayuda a las personas a evaluar su exposición, encontrar actualizaciones autorizadas o mitigaciones provisionales, y verificar que una corrección esté en funcionamiento. La respuesta continúa a medida que los operadores implementan actualizaciones e informan dónde necesitan ayuda.
El marco propuesto considera el rol protector de una organización, incluyendo la protección de sus propios sistemas y clientes, el tiempo necesario para actuar y su capacidad para manejar información sensible. Los mismos criterios se aplicarían a organizaciones comparables, con los mantenedores decidiendo a quién involucrar antes de la divulgación.
Cada participante recibe la información necesaria para llevar a cabo su trabajo de protección, desde registros de red con indicadores de compromiso hasta exploits de prueba de concepto de trabajo más sensibles. Incluso los detalles limitados pueden revelar una vulnerabilidad, por lo que sopesamos el riesgo de compartirlos contra la protección que permiten.
Los equipos que sigan este marco trabajarían con los mantenedores para dar tiempo a los defensores a prepararse y reevaluar el cronograma si hay explotación activa en la naturaleza, una filtración, un parche público revelador o un mayor riesgo para los usuarios debido a una remediación estancada.
El sitio web de Patch the Planet(abre en una nueva ventana) reúne divulgaciones públicas y orientación para ayudar a los operadores a identificar sistemas afectados, encontrar la actualización correcta y verificar que el software actualizado funcione correctamente. Para PHP, apunta a las instrucciones oficiales de parches y actualización de los mantenedores y a la investigación técnica de nuestros socios. La orientación también cubre mitigaciones provisionales, cuándo involucrar a un proveedor o experto, y respaldo y recuperación. Las protecciones provisionales pueden reducir el riesgo, pero dejaremos claros sus límites y sus compromisos operativos.
Los operadores pueden usar la orientación de CISA sobre priorización y remediación(abre en una nueva ventana) para evaluar la rapidez con la que deben actuar según la exposición, la explotación y el impacto potencial. Eso puede significar parches de emergencia, mitigación inmediata o una actualización planificada, junto con un análisis forense cuando esté justificado para evaluar si los sistemas ya han sido comprometidos. Las prioridades deben reevaluarse a medida que cambien las condiciones, con un camino claro hacia una remediación duradera.
Dar a los mantenedores la capacidad y los recursos para responder
La coordinación global depende de las personas que mantienen el software. Muchos proyectos son gestionados por equipos pequeños que revisan informes de seguridad junto con el desarrollo rutinario. Esos equipos necesitan ayuda para separar problemas nuevos de duplicados, evaluar el impacto y probar correcciones en las versiones compatibles. Apoyamos ese trabajo con financiamiento, acceso a modelos capaces y ayuda práctica de ingeniería.
Las capacidades de IA potentes están avanzando en toda la industria, y esperamos que la IA desempeñe un papel cada vez mayor al ayudar a los defensores a encontrar vulnerabilidades, monitorear sistemas y responder a amenazas. Estamos invirtiendo en modelos, herramientas y asociaciones para ayudar a los defensores a poner esas capacidades a trabajar.
Nuestras inversiones incluyen suscripciones para todos los mantenedores a través de Codex for OSS y el patrocinio directo de proyectos como la Rust Foundation(abre en una nueva ventana) para mantenedores y trabajo técnico. Cada proyecto establece sus propias prioridades. Las pruebas reutilizables y los flujos de trabajo de seguridad pueden reducir el esfuerzo necesario para manejar hallazgos futuros. Los proyectos de código abierto pueden postular a Patch the Planet(abre en una nueva ventana) para obtener apoyo práctico.
También estamos calibrando clasificadores de bloqueo adicionales para Daybreak para ayudar a reducir el potencial de uso indebido. Esto implica compromisos difíciles: las salvaguardas destinadas a prevenir abusos también pueden bloquear trabajo de seguridad legítimo. El acceso amplio a modelos capaces y las protecciones eficaces contra el uso indebido son ambos críticos. Nuestro objetivo es preservar las capacidades que los defensores necesitan para encontrar y corregir vulnerabilidades, al tiempo que limitamos el uso dañino. Seguiremos refinando ese equilibrio a medida que las capacidades avancen y aprendamos de cómo se usan estas herramientas.
Construir bases de software más seguras
A medida que los modelos se vuelven más capaces, la oportunidad se extiende más allá de encontrar y corregir vulnerabilidades individuales. Queremos ayudar a los ingenieros a construir software más seguro desde el principio. Las mejoras en un componente ampliamente utilizado pueden prevenir errores o limitar su impacto en muchos productos y servicios.
La IA puede ayudar a los ingenieros a comprender el código existente, preparar cambios y desarrollar pruebas, mientras que los mantenedores y expertos en seguridad verifican que esos cambios preserven el comportamiento del que dependen los usuarios. Vemos oportunidades en varias áreas:
Código seguro desde el principio. Los modelos de programación pueden ayudar a los desarrolladores a elegir valores predeterminados más seguros, usar correctamente las bibliotecas de seguridad y detectar patrones riesgosos mientras escriben. Prevenir vulnerabilidades durante el desarrollo significa menos correcciones de emergencia para los mantenedores y usuarios.
Software con seguridad de memoria. Mover componentes críticos a lenguajes con seguridad de memoria puede eliminar clases comunes de errores de memoria. La IA puede ayudar con las migraciones, con pruebas y revisión de expertos para verificar el comportamiento y la compatibilidad.
Verificación formal. Las demostraciones matemáticas pueden mostrar que los componentes críticos satisfacen propiedades de seguridad especificadas bajo supuestos establecidos. Aplicar estos métodos a componentes de uso generalizado podría ayudar a descartar clases de vulnerabilidades en los servicios e infraestructura crítica que dependen de ellos.
Aislamiento más fuerte. Los sistemas necesitan protección contra vulnerabilidades que aún no se han encontrado ni corregido. Ejecutar software que procesa archivos, imágenes o medios no confiables en entornos de pruebas (sandboxes) con restricciones estrictas puede limitar el daño si se ve comprometido. La IA puede ayudar a los ingenieros a probar y fortalecer las tecnologías de sandboxing de uso generalizado, mejorando las protecciones en muchas aplicaciones.
Ayúdenos a mejorar este enfoque
Compartimos nuestro enfoque para que los mantenedores, investigadores, equipos de respuesta, proveedores y operadores ayuden a hacerlo viable. Queremos entender dónde sería útil, dónde podría añadir retrasos o carga, y qué nos hemos pasado por alto. Los ejemplos de divulgaciones pasadas serían especialmente útiles.
Estamos particularmente interesados en:
Ventanas de divulgación. ¿Cuánto tiempo necesitan los mantenedores, operadores y defensores para preparar y desplegar correcciones confiables? ¿Qué evidencia debería desencadenar una divulgación más temprana, especialmente cuando algunos usuarios pueden protegerse antes que otros?
Parcheo de emergencia. ¿Cuándo, si es que alguna vez, deberían los gobiernos u otros operadores usar una vulnerabilidad para parchear sistemas que poseen o están autorizados a administrar después de perder el acceso administrativo? ¿Qué salvaguardas deberían aplicarse? Podemos imaginar un estado final de escaneo continuo en toda la internet para vulnerabilidades conocidas, y ya sea notificar a los propietarios de los sitios cuando se detecta una o parchear el sistema.
Aviso temprano. ¿Quién necesita advertencia previa para tomar una acción protectora útil, incluidos defensores que podríamos pasar por alto? ¿Cuándo funcionan mejor las notificaciones escalonadas que notificar a un grupo más amplio de una sola vez, y cómo deberíamos sopesar la cobertura frente al riesgo de filtración?
Paquetes de software seguros por defecto. ¿Cómo podemos ayudar a identificar y corregir vulnerabilidades en paquetes descendentes mientras las correcciones ascendentes están pendientes, o trasladar (backport) correcciones a versiones más antiguas que ya no reciben actualizaciones de seguridad? ¿Qué pruebas y mantenimiento harían que estos paquetes sean opciones confiables cuando no es posible una actualización oportuna?
También agradecemos recomendaciones de expertos independientes en seguridad que puedan revisar el enfoque, cuestionar sus supuestos e identificar brechas. Su aporte nos ayudará a refinar la respuesta y priorizar el apoyo. Comparta sus comentarios aquí(se abre en una nueva ventana).