Divulgació coordinada: per què el pedaç arriba abans que la notícia

L'error que es calla

Explicar un forat d'un programa molt utilitzat tan bon punt es descobreix seria regalar-lo a qui el vulgui aprofitar. Per això el sector practica una cosa que sembla contrària a la transparència: callar durant un temps pactat.

El CERT/CC —CERT Coordination Center, del Software Engineering Institute de la Universitat Carnegie Mellon— coordina divulgacions com aquestes des del 1988 i resumeix el seu primer principi en dues paraules: reduir el dany. Es tracta de donar als defensors l'oportunitat d'actuar sense donar avantatge als atacants.

Primer, una debilitat

Tot comença amb una d'aquestes debilitats, que, segons el NIST, l'institut de normes tècniques del Govern dels Estats Units, pot ser al codi, però també en un procediment.

Què cal fer-ne ho fixa una norma internacional, la ISO/IEC 29147, del 2018 i confirmada el 2024. Segons el seu resum oficial, divulgar serveix per reduir el risc que algú aprofiti l'error, i coordinar importa sobretot si hi ha diversos fabricants afectats.

Sis passos fins a la notícia

El CERT/CC divideix el procés en sis fases, adaptades d'una altra norma, la ISO/IEC 30111. La correcció és la quarta i, segons la guia, l'ideal és que sigui un pedaç. Amb PHP2Shell, els dos errors greus de PHP, el llenguatge amb què funciona bona part del web, el recorregut va ser aquest.

Els van trobar per separat Calif, una empresa de seguretat que es presenta com l'equip de confiança d'OpenAI, Anthropic, Google, Cursor i xAI, i Wiz, empresa de seguretat al núvol propietat de Google des del març del 2026. Segons OpenAI, Calif va fer servir un dels seus models dins de Patch the Planet, la iniciativa d'OpenAI i de la consultora de seguretat Trail of Bits per ajudar projectes de codi obert crítics.

El pedaç viatja abans que la notícia

Segons l'avís de php.net, les distribucions de Linux i els proveïdors de suport estès van rebre els pedaços per endavant. Quan el públic se'n va assabentar, la correcció ja estava empaquetada a molts llocs.

No només viatja el pedaç. Cloudflare, que ofereix tallafocs d'aplicacions web (WAF, web application firewall) als seus clients, diu que va desplegar les seves proteccions unes 9 hores abans de la divulgació. OpenAI, que va coordinar part de la resposta, en descriu el repartiment: un distribuïdor adapta la correcció a versions antigues i un proveïdor d'allotjament prova una mitigació.

Quant se n'explica a cadascú és delicat. Segons OpenAI, cada participant rep només el que necessita per a la seva feina de protecció, perquè «fins i tot uns detalls limitats poden revelar una vulnerabilitat».

Quant dura el secret

El silenci caduca, i cada programa publica el seu termini. Dues referències són Google Project Zero, l'equip de recerca de vulnerabilitats de Google, i la Zero Day Initiative, el programa de divulgació de vulnerabilitats de la marca de seguretat TrendAI.

Els terminis neixen de l'experiència. Segons Project Zero, quan coordinava sense data límit moltes correccions van trigar més de sis mesos, i els atacants troben, o compren, cada vegada més sovint els mateixos errors dels quals avisen els investigadors. Amb terminis, segons el seu balanç des del 2015, el 96,9 % dels seus avisos s'arregla a temps.

Un nom per a cada error

Abans de fer-se públic, l'error rep el seu número, que permet a fabricants, administradors i investigadors parlar del mateix problema. La CISA, l'agència de ciberseguretat del Departament de Seguretat Nacional dels Estats Units, és una de les autoritats que els assignen.

Aquest número també és una pista. A PHP2Shell, els identificadors dels dos errors van ser el primer que es va escapar, segons la PHP Foundation, abans que existís la correcció pública.

Quan el secret es trenca

Segons la PHP Foundation, que reuneix persones i empreses que depenen de PHP i paga desenvolupadors del seu nucli, la coordinació va funcionar bé fins a dos dies abans de la data prevista. Llavors els identificadors van començar a circular per fòrums i xarxes, sense detalls tècnics però amb una hora de publicació i una nota CVSS equivocades. Per aquesta filtració, PHP va avançar un dia la sortida, quan els distribuïdors encara empaquetaven la correcció.

Hi va haver dues escletxes més, sempre segons la fundació. Calif va publicar per error un vídeo en què es veia el seu atac de demostració funcionant contra diversos objectius, amb alguns detalls addicionals, tot i que limitats. El va retirar, però les còpies van circular per les xarxes i van accelerar que altres desenvolupessin les seves pròpies demostracions. Calif no ho esmenta en el seu relat del cas.

L'altra va trencar l'embargament. El 21 d'octubre a les 07 h 41 min UTC, més de sis hores abans del que s'havia pactat, Chainguard, que distribueix imatges de programari a punt per fer servir, va publicar versions amb la correcció, segons la PHP Foundation, que parla de ruptura unilateral: qualsevol atacant podia estudiar el pedaç mentre la resta esperava. No consta cap resposta pública de Chainguard.

Llegir-ne més: AI Informator — La IA va trobar el forat; Europa, l'endoll (22-10-2026) ↗

Un pedaç tanca; una mitigació aguanta

La diferència importa quan el secret s'acaba. L'avís de php.net ho deixava clar: només actualitzar és una solució completa, i les mesures temporals redueixen l'exposició a alguns camins d'atac, però no fan segura una instal·lació.

Un tallafocs d'aplicacions web també és una mitigació. Cloudflare, que va protegir per defecte els seus clients, els recomana igualment que apliquin el pedaç: la seva regla és una capa més, no la correcció.

Llegir-ne més: Com tancar les portes que sobren, en una altra lliçó ↗

La IA accelera els dos bàndols

Segons OpenAI, a PHP2Shell la IA va trobar els errors abans que els atacants i va obrir el que l'empresa anomena la «finestra del defensor»: un marge per preparar correccions i proteccions abans de publicar. Però la mateixa capacitat, admet, pot ajudar els atacants a fabricar eines ofensives de pressa, i Greg Brockman, d'OpenAI, va escriure a l'agost que altres companyies ja ofereixen models amb capacitats de ciberatac a pocs mesos dels models frontier.

La bústia també s'omple. Segons la PHP Foundation, la IA ajuda el seu equip a validar avisos i a agrupar els que comparteixen causa, però cada decisió i cada pedaç són obra d'una persona. Trail of Bits resumeix el repte dels mantenidors desbordats en tres tasques: treure duplicats, filtrar falsos positius i corregir la gravetat, perquè sense instruccions els models tendeixen a qualificar-ho tot de crític.