{"id":979,"date":"2026-10-25T23:31:03","date_gmt":"2026-10-25T23:31:03","guid":{"rendered":"https:\/\/cybertica.cr\/?p=979"},"modified":"2026-10-25T23:31:03","modified_gmt":"2026-10-25T23:31:03","slug":"5-preguntas-que-se-hacen-los-equipos-de-seguridad-tras-los-cierres-por-la-vulnerabilidad-de-php","status":"publish","type":"post","link":"https:\/\/cybertica.cr\/?p=979","title":{"rendered":"5 preguntas que se hacen los equipos de seguridad tras los cierres por la vulnerabilidad de PHP"},"content":{"rendered":"
\n

El 21 de octubre, las p\u00e1ginas web de muchos gobiernos de toda Europa dejaron de funcionar<\/a>. Las agencias holandesas, francesas, danesas y finlandesas desconectaron sus servicios p\u00fablicos despu\u00e9s de que salieran a la luz vulnerabilidades cr\u00edticas en PHP, el lenguaje de programaci\u00f3n que utiliza aproximadamente el 75% de las p\u00e1ginas web. Las vulnerabilidades llevaban a\u00f1os ocultas en el c\u00f3digo hasta que unas herramientas de IA las descubrieron.<\/p>\n

Aunque ya se ha publicado una soluci\u00f3n, la IA ha facilitado a los atacantes la ingenier\u00eda inversa para averiguar qu\u00e9 ha cambiado. Amazon inform\u00f3 de que su equipo de seguridad detect\u00f3 un intento de explotaci\u00f3n contra un sistema \u00abhoneypot\u00bb el 17 de octubre, cuatro d\u00edas antes de que se hiciera p\u00fablica la informaci\u00f3n. Los defensores ya iban con retraso incluso antes de que se publicara el aviso.<\/p>\n

Mark Kuhr, co-fundador y CTO de Synack<\/strong>, y Nabil Hannan, Field CISO de NetSPI <\/strong>responden a las preguntas generales que se plantean los equipos de seguridad sobre c\u00f3mo esta historia ilustra la nueva normalidad en la seguridad ofensiva.<\/p>\n

1. \u00bfC\u00f3mo consiguen los atacantes actuar m\u00e1s r\u00e1pido de lo que tardan los defensores en aplicar los parches?<\/strong><\/h5>\n

La IA ha hecho que la detecci\u00f3n sea barata y r\u00e1pida, mientras que la correcci\u00f3n sigue dependiendo de personas, pruebas y ventanas de cambio que no se han acelerado al mismo ritmo.<\/p>\n

El estudio M-Trends 2026 de Mandiant<\/a> estima que el tiempo medio hasta la explotaci\u00f3n ha bajado a unos -7 d\u00edas, lo que significa que la explotaci\u00f3n suele empezar antes de que exista un parche. Adem\u00e1s, los atacantes tienen pocos procesos que les frenen. No necesitan aprobaci\u00f3n de cambios, pruebas de regresi\u00f3n ni ventanas de mantenimiento.<\/p>\n

Esperamos que esto se intensifique. El volumen de vulnerabilidades lleva a\u00f1os aumentando, y la detecci\u00f3n impulsada por la IA lo har\u00e1 subir a\u00fan m\u00e1s. Esto ejerce presi\u00f3n sobre todo el ciclo de detecci\u00f3n y correcci\u00f3n, y los plazos de los parches, que se miden en semanas, est\u00e1n cada vez m\u00e1s desfasados respecto a los atacantes, que ejecutan agentes automatizados las 24 horas del d\u00eda. Esto es especialmente cierto en el caso de los sistemas heredados, la tecnolog\u00eda operativa y el hardware que no puede tolerar un reinicio no programado.<\/p>\n

2. \u00bfNuestro programa de pruebas est\u00e1 a la altura de los atacantes impulsados por la IA?<\/strong><\/h5>\n

Para la mayor\u00eda de las organizaciones, probablemente no, y la brecha tiene que ver tanto con la cobertura como con la velocidad.<\/p>\n

Las pruebas puntuales y orientadas al cumplimiento normativo dejan largos intervalos entre evaluaciones, y los atacantes no esperan a que termine un ciclo de auditor\u00eda. Los datos de los clientes muestran avances en cuanto a la velocidad: los clientes de Synack redujeron el tiempo necesario para corregir vulnerabilidades cr\u00edticas de 63 d\u00edas a 38. Sin embargo, solo alrededor del 32% de la superficie de ataque en esos datos se somete a pruebas<\/a>. Corregir los problemas conocidos m\u00e1s r\u00e1pido no sirve de nada para el 68% que nadie ha examinado.<\/p>\n

El alcance es otro de los culpables habituales. Muchas organizaciones mantienen inventarios de activos desactualizados o incompletos, por lo que el alcance que facilitan a los evaluadores deja fuera sistemas de los que no son conscientes. Las pruebas deber\u00edan seguir el modo de operar de los adversarios, incluyendo entornos de producci\u00f3n donde se conoce el riesgo. Restringir en exceso una prueba porque afecta a la producci\u00f3n suele costarle a la organizaci\u00f3n los hallazgos m\u00e1s valiosos. Yendo un paso m\u00e1s all\u00e1, las pruebas de penetraci\u00f3n continuas proporcionan un flujo constante de se\u00f1ales verificadas en lugar de una instant\u00e1nea anual.<\/p>\n

3. \u00bfC\u00f3mo priorizamos qu\u00e9 arreglar primero cuando la IA encuentra m\u00e1s de lo que podemos gestionar?<\/strong><\/h5>\n

Prioriza seg\u00fan la explotabilidad y el contexto empresarial, en lugar de basarte solo en la puntuaci\u00f3n de gravedad. Los responsables de seguridad nos han comentado que encontrar m\u00e1s vulnerabilidades no ayuda necesariamente al equipo si no tiene capacidad para solucionar los problemas conocidos.<\/p>\n

Ahora tienen que centrarse en priorizar el riesgo, y eso requiere contexto. Empieza a preguntarte: un inventario interno fiable de activos, junto con saber qu\u00e9 controles de seguridad cubren cada activo, muestra qu\u00e9 correcciones reducen el riesgo demostrado. Un fallo de gravedad media en un sistema cr\u00edtico y accesible puede ser m\u00e1s importante que uno de alta gravedad en un servidor aislado.<\/p>\n

    \n
  • \u00bfQu\u00e9 activos est\u00e1n expuestos a Internet?<\/li>\n
  • \u00bfCu\u00e1les contienen datos confidenciales?<\/li>\n
  • \u00bfCu\u00e1les se conectan a algo que permitir\u00eda un movimiento lateral?<\/li>\n<\/ul>\n
    4. \u00bfCu\u00e1l es la combinaci\u00f3n ideal de personas e IA para la seguridad ofensiva?<\/strong><\/h5>\n

    Las personas deben aportar contexto, creatividad y responsabilidad, mientras que la IA se encarga del reconocimiento y el descubrimiento a gran escala. La IA suele tener dificultades con los fallos de l\u00f3gica empresarial, con encadenar debilidades para formar una ruta de ataque real y con juzgar si un hallazgo es relevante en un entorno espec\u00edfico. Las tasas de falsos positivos en la detecci\u00f3n impulsada por IA siguen siendo lo suficientemente altas como para que los resultados no validados puedan saturar a un equipo de informaci\u00f3n irrelevante. Los informes p\u00fablicos sobre vulnerabilidades descubiertas por la IA tambi\u00e9n muestran que, con frecuencia, son los expertos quienes gu\u00edan los modelos y determinan c\u00f3mo se construye un exploit.<\/p>\n

    Lo mismo ocurre del lado de los atacantes. Los adversarios son personas que dirigen la IA hacia sus objetivos, y los defensores deben realizar pruebas con la misma creatividad. En nuestros propios proyectos, los evaluadores expertos gu\u00edan el desarrollo de exploits y utilizan mucho las herramientas de IA, y cada resultado lo valida una persona. Las medidas de seguridad tambi\u00e9n son importantes. Cuando la IA ofensiva se ejecuta en un entorno de producci\u00f3n, necesita reglas de actuaci\u00f3n claras y l\u00edmites de alcance, adem\u00e1s de gente que supervise lo que hace.<\/p>\n

    5. \u00bfQu\u00e9 deber\u00edan hacer los equipos de seguridad estos d\u00edas?<\/strong><\/h5>\n

    Deber\u00edan empezar por la vulnerabilidad inmediata de PHP y, a continuaci\u00f3n, util\u00edzarla para poner a prueba su programa de seguridad en general. Los cierres de PHP no ser\u00e1n el \u00faltimo incidente de este tipo. Los descubrimientos seguir\u00e1n aceler\u00e1ndose, y los equipos que mejor salgan parados ser\u00e1n aquellos que conozcan su superficie de ataque, la pongan a prueba continuamente y centren su limitada capacidad de correcci\u00f3n en lo que m\u00e1s importa. NetSPI+Synack colabora con los equipos de seguridad para mantenerse al d\u00eda y que no quede nada que se pueda explotar.<\/p>\n

      \n
    1. Haz un inventario de todos los sistemas que ejecutan PHP, incluidos los sistemas de gesti\u00f3n de contenidos y las aplicaciones de terceros, e identifica qui\u00e9n es el responsable de cada uno.<\/li>\n
    2. Comprueba el estado de los parches y aplica las correcciones, dando prioridad a los activos conectados a Internet.<\/li>\n
    3. Comprueba si los sistemas expuestos son vulnerables para saber a qu\u00e9 podr\u00eda acceder potencialmente un atacante.<\/li>\n
    4. Decide de antemano qu\u00e9 hallazgos deben desencadenar una acci\u00f3n inmediata, para que la pr\u00f3xima revelaci\u00f3n no empiece con un debate.<\/li>\n
    5. Pasa tus activos m\u00e1s cr\u00edticos de las pruebas anuales a un modelo continuo.<\/li>\n<\/ol>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

      El 21 de octubre, las p\u00e1ginas web de muchos gobiernos de toda Europa dejaron de funcionar. Las agencias holandesas, francesas, danesas y finlandesas desconectaron sus servicios p\u00fablicos despu\u00e9s de que salieran a la luz vulnerabilidades cr\u00edticas en PHP, el lenguaje de programaci\u00f3n que utiliza aproximadamente el 75% de las p\u00e1ginas web. Las vulnerabilidades llevaban a\u00f1os […]<\/p>\n","protected":false},"author":1,"featured_media":980,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-979","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/979","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=979"}],"version-history":[{"count":0,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/979\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/media\/980"}],"wp:attachment":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=979"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=979"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=979"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}