A principios de esta semana se hizo un anuncio sorprendente: debido a vulnerabilidades descubiertas recientemente en el lenguaje de programación de código abierto PHP, los propietarios de sitios web tuvieron que parchear inmediatamente sus sitios, o si no podían actualizarlos de inmediato, deberían cerrar los sitios para estar seguros.
En el episodio de esta semana del podcast Equity de TechCrunch, Kirsten Korosec, Sean O’Kane y yo discutimos la importancia del PHP-ocalypse y si veremos más incidentes como este en el futuro.
Sean llamó a esto «un verdadero momento de ajuste de cuentas» que destaca cómo «cuando llegas al nivel básico de Internet», todo parece estar «mantenido por pegamento y sueños». Y con el acceso generalizado a grandes modelos de lenguaje y agentes de inteligencia artificial, será más fácil encontrar estas vulnerabilidades. (Dicho esto, estas vulnerabilidades específicas fueron encontradas por investigadores humanos, no por modelos de IA).
Mientras tanto, Kirsten se preguntó si estamos a punto de ver el «siguiente nivel de fatalidad de los preparadores». […] porque se podía ver cómo los bancos podían ser explotados, y [with] preocupaciones sobre datos y privacidad, simplemente se siente mucho más grande de lo que podemos solucionar en este momento”.
Continúe leyendo para obtener una vista previa de nuestra conversación, editada para mayor extensión y claridad.
Sean O’Kane: Al parecer, Internet se está rompiendo de muchas maneras esta semana.
Creo que la mejor manera de pensar en esto, si la gente está entrando en este tipo de frío: ¿Cuántas veces en los últimos 10 años hemos tenido estos momentos en los que algo se rompe o algo casi se rompe, donde una persona mantiene un pequeño repositorio de reproducción como pasatiempo o lo que sea que sucede para darse cuenta de que algo nefasto está sucediendo y nos salva de que la infraestructura de Internet se desmorone por completo?
Ahora multiplique eso por mil millones, cuando las personas tengan acceso no solo a software extremadamente avanzado en forma de estos LLM que todos usan, sino también a la capacidad de encargarles que salgan y lo hagan ellos mismos, con la creación de agentes de IA que estén decididos a lograr esas cosas.
Estamos viendo un equilibrio de dos cosas que suceden esta semana. Uno es un grupo de laboratorios y empresas como Google y OpenAI que hicieron que la gente saliera y encontrara un montón de vulnerabilidades, incluida la de PHP. Y luego también tenemos un grupo de personas que parecen apresurarse a aprovechar esas vulnerabilidades para intentar piratear sitios web. Tenemos gobiernos que cierran sitios web, tenemos sitios web muy populares que se cierran brevemente para poder solucionar esta vulnerabilidad.
Este es un verdadero momento de ajuste de cuentas, donde vamos a descubrir el riesgo negativo de construir gran parte de Internet con tecnología de código abierto como PHP. Cuando realmente llegas al nivel básico de Internet, éste se mantiene unido con pegamento y sueños.
Antonio Ha: Hay tantas cosas que fueron sorprendentes acerca de esto. Uno de ellos es el hecho de que, al menos según tengo entendido, no se trata de una vulnerabilidad nueva. Esta es una vulnerabilidad que existe en PHP desde hace décadas.
Y PHP se ha utilizado como lenguaje de programación para construir gran parte de la web, por lo que esta vulnerabilidad ha estado ahí durante décadas, pero nadie lo sabía. Lo que sucedió, esencialmente, es que estas grandes empresas de inteligencia artificial, incluida Wiz, ahora propiedad de Google, pudieron encontrar estas vulnerabilidades utilizando LLM. [As noted above, I got this wrong: Human researchers participating in OpenAI and Wiz’s Hack the Planet initiative found the vulnerabilities, though they used AI to exploit the bug.]
Supongo que parte del cálculo es que necesitamos parchear esto, porque si podemos encontrar esta vulnerabilidad usando LLM, otras personas también pueden hacerlo. Pero la única manera de publicar el parche es anunciando la vulnerabilidad. Y entonces se crea esta situación de pánico en la que [they say]: «Está bien, esta vulnerabilidad existió durante décadas. Tienes que parchearla de inmediato, y si no puedes parchearla de inmediato, simplemente cierra tu sitio web. Es una vulnerabilidad así de grave».
Kirsten Korosec: Creo que lo importante es que mucha gente ni siquiera se da cuenta de que sus sitios web tienen PHP, que es, como mencionaste, un lenguaje de programación de código abierto con décadas de antigüedad.
Para aquellos que no lo saben, Preprocesador de hipertexto es el término oficial. [it’s] Este es realmente el ingrediente central detrás de los sistemas de gestión de contenido que se utilizan en WordPress, Drupal y alrededor del 70% de los sitios web. Estamos hablando de decenas de millones de sitios web. Entonces, para mí, es la escala. También me hizo pensar inmediatamente en dos cosas: una, esto es sólo el comienzo. ¿Qué otro software malicioso de décadas de antigüedad existe que pueda ser explotado?
Y el otro fue algo que mencionó 404 Media, que tuvo un gran desglose, que es el enlace podrido. Porque muchas personas, empresas, gobiernos, tal vez ese pequeño sitio web de barrio, están cerrando estos [websites] abajo. Y entonces vamos a tener muchos enlaces podridos y también sitios web que tal vez tenían un poco de historia y que ya no serán accesibles, en lugar de parchearlos.
sean: Anthony, creo que diste un muy buen punto. He visto a mucha gente descontenta con el lanzamiento de la divulgación aquí, un poco de la paliza que OpenAI parece haber hecho en su publicación al respecto.
Además, parece que un par de personas se adelantaron al embargo de este lanzamiento, lo que desató una carrera entre los hackers. Creo que fue el director ejecutivo de Cloudflare, Matthew Prince. [who] Ya publiqué acerca de verlo escalar a millones de intentos de hackeo de PHP2Shell.
El problema con estas vulnerabilidades, la forma en que esto suele funcionar en ciberseguridad es que, si estás realizando una prueba de estrés del software de una empresa, incluso si es una pieza de software fundamental que ayuda a ejecutar muchas computadoras diferentes o partes de Internet o lo que sea, puedes ir a esa empresa y revelarlo y de alguna manera permanece dentro de esa burbuja. Pero cuando hablamos de algo tan profundo y fundamental como esto, no puedes ir por ahí y decírselo a todo el mundo discretamente.
Quiero decir, tal vez podrías, si la IA fuera lo suficientemente avanzada y pudieras encargar a mil millones de agentes que enviaran un correo electrónico a cada persona que tiene control sobre alguna parte de un sitio web. Ahora lamentamos los días en que teníamos webmasters que eran fácilmente identificables, y tal vez eso hubiera resuelto el problema hasta cierto punto. Pero simplemente no existe una manera fácil de hacer esto. Creo que este es el comienzo de lo que serán muchos idas y venidas y claramente una nueva frontera en ciberseguridad.
kirsten: La publicación de Matthew Prince en las redes sociales fue para mí realmente reveladora y bastante aterradora. Además, no sé si alguno de ustedes vio esto, pero Amazon también publicó una publicación en el blog. Esta es una empresa muy bien capitalizada, por lo que tienen las herramientas y un equipo para detectar lo que está pasando. Operan, básicamente, una red honeypot, o un señuelo, y de hecho vieron que había intentos de explotar esa vulnerabilidad antes de que se anunciara públicamente.
Para mí, nuevamente, todo se reduce a esto: Amazon tiene las herramientas, el capital y el conocimiento para luchar contra estas cosas. Hay tantos sitios web e incluso sitios web potencialmente gubernamentales que simplemente no reciben ese nivel de atención. Y para mí, esa es realmente la parte aterradora.
y ahí [are] algunos empleados de IA por ahí que probablemente llevarán esto al siguiente nivel de fatalidad preparatoria, porque se podría ver cómo los bancos podrían ser explotados, y [with] preocupaciones sobre datos y privacidad, simplemente parece mucho más grande de lo que podemos solucionar en este momento. Entonces me interesa ver dos cosas. Primero, cuán extremo se vuelve el comportamiento de las personas, pero también me pregunto si surgirán algunas nuevas empresas como resultado de esto, o si recurriremos a algunas de las herramientas de código abierto. [offered by companies like Nvidia] para crear estas capas de seguridad.
Cuando compra a través de enlaces en nuestros artículos, podemos ganar una pequeña comisión. Esto no afecta nuestra independencia editorial.