Divulgación coordinada: por qué el parche llega antes que la noticia

El fallo que no se cuenta

Contar un agujero de un programa muy usado en cuanto se descubre sería regalárselo a quien quiera aprovecharlo. Por eso el sector practica algo que parece contrario a la transparencia: callar durante un tiempo pactado.

El CERT/CC —CERT Coordination Center, del Software Engineering Institute de la Universidad Carnegie Mellon— coordina divulgaciones así desde 1988 y resume su primer principio en dos palabras: reducir el daño. Se trata de dar a los defensores la oportunidad de actuar sin dar ventaja a los atacantes.

Primero, una debilidad

Todo empieza con una de estas debilidades, que según el NIST, el instituto de normas técnicas del Gobierno de Estados Unidos, puede estar en el código, pero también en un procedimiento.

Qué hacer con ella lo fija una norma internacional, la ISO/IEC 29147, de 2018 y confirmada en 2024. Según su resumen oficial, divulgar sirve para reducir el riesgo de que alguien aproveche el fallo, y coordinar importa sobre todo si hay varios fabricantes afectados.

Seis pasos hasta la noticia

El CERT/CC divide el proceso en seis fases, adaptadas de otra norma, la ISO/IEC 30111. El arreglo es la cuarta y lo ideal, según la guía, es que sea un parche. Con PHP2Shell, los dos fallos graves de PHP, el lenguaje con el que funciona buena parte de la web, el recorrido fue este.

Lo encontraron por separado Calif, una empresa de seguridad que se presenta como el equipo de confianza de OpenAI, Anthropic, Google, Cursor y xAI, y Wiz, empresa de seguridad en la nube propiedad de Google desde marzo de 2026. Según OpenAI, Calif usó uno de sus modelos dentro de Patch the Planet, la iniciativa de OpenAI y la consultora de seguridad Trail of Bits para ayudar a proyectos de código abierto críticos.

El parche viaja antes que la noticia

Según el aviso de php.net, las distribuciones de Linux y los proveedores de soporte extendido recibieron los parches por adelantado. Cuando el público se enteró, el arreglo ya estaba empaquetado en muchos sitios.

No solo viaja el parche. Cloudflare, que ofrece cortafuegos de aplicaciones web (WAF, web application firewall) a sus clientes, dice que desplegó sus protecciones unas 9 horas antes de la divulgación. OpenAI, que coordinó parte de la respuesta, describe el reparto: un distribuidor adapta el arreglo a versiones antiguas y un proveedor de alojamiento prueba una mitigación.

Cuánto se cuenta a cada uno es delicado. Según OpenAI, cada participante recibe solo lo que necesita para su trabajo de protección, porque «incluso detalles limitados pueden revelar una vulnerabilidad».

Cuánto dura el secreto

El silencio caduca, y cada programa publica su plazo. Dos referencias son Google Project Zero, el equipo de investigación de vulnerabilidades de Google, y la Zero Day Initiative, el programa de divulgación de vulnerabilidades de la marca de seguridad TrendAI.

Los plazos nacen de la experiencia. Según Project Zero, cuando coordinaba sin fecha límite muchos arreglos tardaron más de seis meses, y los atacantes encuentran, o compran, cada vez más a menudo los mismos fallos que avisan los investigadores. Con plazos, según su balance desde 2015, el 96,9 % de sus avisos se arregla a tiempo.

Un nombre para cada fallo

Antes de publicar, el fallo recibe su número, que permite a fabricantes, administradores e investigadores hablar del mismo problema. La CISA, la agencia de ciberseguridad del Departamento de Seguridad Nacional de Estados Unidos, es una de las autoridades que los asignan.

Ese número también es una pista. En PHP2Shell, los identificadores de los dos fallos fueron lo primero que se escapó, según la PHP Foundation, antes de que existiera el arreglo público.

Cuando el secreto se rompe

Según la PHP Foundation, que reúne a personas y empresas que dependen de PHP y paga a desarrolladores de su núcleo, la coordinación funcionó bien hasta dos días antes de la fecha prevista. Entonces los identificadores empezaron a circular por foros y redes, sin detalles técnicos pero con una hora de publicación y una nota CVSS equivocadas. Por esa filtración, PHP adelantó un día la salida, cuando los distribuidores aún estaban empaquetando el arreglo.

Hubo dos grietas más, siempre según la fundación. Calif publicó por error un vídeo en el que se veía su ataque de demostración funcionando contra varios objetivos, con algunos detalles adicionales, aunque limitados. Lo retiró, pero las copias circularon por redes y aceleraron que otros desarrollaran sus propias demostraciones. Calif no lo menciona en su relato del caso.

La otra rompió el embargo. El 21 de octubre a las 07:41 UTC, más de seis horas antes de lo pactado, Chainguard, que distribuye imágenes de software listas para usar, publicó versiones con el arreglo, según la PHP Foundation, que habla de ruptura unilateral: cualquier atacante podía estudiar el parche mientras el resto esperaba. No consta respuesta pública de Chainguard.

Leer más: AI Informator — La IA encontró el agujero; Europa, el enchufe (22-10-2026) ↗

Un parche cierra; una mitigación aguanta

La diferencia importa cuando el secreto se acaba. El aviso de php.net lo dejaba claro: solo actualizar es una solución completa, y las medidas temporales reducen la exposición a algunos caminos de ataque, pero no hacen segura una instalación.

Un cortafuegos de aplicaciones web también es una mitigación. Cloudflare, que protegió por defecto a sus clientes, recomienda igualmente que parcheen: su regla es una capa más, no el arreglo.

Leer más: Cómo cerrar puertas de más, en otra lección ↗

La IA acelera los dos lados

Según OpenAI, en PHP2Shell la IA encontró los fallos antes que los atacantes y abrió lo que la empresa llama la «ventana del defensor»: un margen para preparar arreglos y protecciones antes de publicar. Pero la misma capacidad, admite, puede ayudar a los atacantes a fabricar herramientas ofensivas deprisa, y Greg Brockman, de OpenAI, escribió en agosto que otras compañías ya ofrecen modelos con capacidades de ciberataque a pocos meses de los modelos frontier.

El buzón también se llena. Según la PHP Foundation, la IA ayuda a su equipo a validar avisos y agrupar los que comparten causa, pero cada decisión y cada parche los hace una persona. Trail of Bits resume el reto de los mantenedores desbordados en tres tareas: quitar duplicados, filtrar falsos positivos y corregir la gravedad, porque sin instrucciones los modelos tienden a calificarlo todo como crítico.