PHP culpa a la empresa de seguridad de la cadena de suministro Chainguard de poner en peligro gran parte de la web

Los de­sa­rro­lla­do­res de PHP han se­ña­la­do a la em­pre­sa de se­gu­ri­dad de la ca­de­na de su­mi­nis­tro Chain­guard por su­pues­ta­men­te re­ve­lar de forma an­ti­ci­pa­da fa­llos crí­ti­cos de se­gu­ri­dad en este len­gua­je de pro­gra­ma­ción de có­di­go abier­to, al­te­ran­do los pla­nes de di­vul­ga­ción ofi­cial. Los crea­do­res de PHP pu­bli­ca­ron par­ches de emer­gen­cia y ex­pli­ca­ron que los pro­ble­mas fue­ron de­tec­ta­dos ori­gi­nal­men­te por in­ves­ti­ga­do­res de otras en­ti­da­des uti­li­zan­do mo­de­los de in­te­li­gen­cia ar­ti­fi­cial, afec­tan­do a ser­vi­do­res que eje­cu­tan PHP de­bi­do a la po­si­bi­li­dad de que ata­can­tes sin au­ten­ti­car eje­cu­ten có­di­go.

Los in­ci­den­tes se pre­ci­pi­ta­ron cuan­do co­men­za­ron a cir­cu­lar iden­ti­fi­ca­do­res de CVE y ru­mo­res en foros en línea y redes so­cia­les, lo que obli­gó a los res­pon­sa­bles de PHP a ade­lan­tar un día su aviso y la pu­bli­ca­ción de los par­ches. A esto se sumó que una de las em­pre­sas co­la­bo­ra­do­ras pu­bli­có por error un vídeo con una prue­ba de con­cep­to y otros de­ta­lles, mien­tras que Chain­guard de­ci­dió uni­la­te­ral­men­te pu­bli­car imá­ge­nes com­pi­la­das con la so­lu­ción antes de que se cum­plie­ra el plazo de di­vul­ga­ción coor­di­na­da acor­da­do.

Por su parte, el di­rec­tor eje­cu­ti­vo de Chain­guard de­fen­dió la de­ci­sión de su em­pre­sa ar­gu­men­tan­do que no se trató de una fil­tra­ción ma­lin­ten­cio­na­da, sino de una me­di­da to­ma­da por­que ya se es­ta­ban de­tec­tan­do ata­ques en el mundo real y per­so­nas sien­do afec­ta­das de ma­ne­ra an­ti­ci­pa­da. Asi­mis­mo, in­di­có que su pro­pio equi­po había lo­gra­do iden­ti­fi­car de ma­ne­ra in­de­pen­dien­te las mis­mas vul­ne­ra­bi­li­da­des de co­rrup­ción de me­mo­ria uti­li­zan­do in­te­li­gen­cia ar­ti­fi­cial tras re­ci­bir un aviso ini­cial, y que sus sis­te­mas se­ña­lan que di­rec­cio­nes IP de de­ter­mi­na­dos paí­ses ya es­ta­ban in­ten­tan­do ex­plo­tar los fa­llos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el al­can­ce exac­to de la ex­plo­ta­ción en el mundo real ni sobre qué ocu­rri­rá con los sis­te­mas he­re­da­dos vul­ne­ra­bles que no re­ci­ban las ac­tua­li­za­cio­nes de se­gu­ri­dad.