Octubre se está ganando un apodo en el sector: Black October.

La semana pasada se descubrieron varias vulnerabilidades críticas en PHP y Node.js, dos de las tecnologías sobre las que está construida buena parte de la web. PHP mueve una enorme porción de los sitios existentes, incluida casi toda la galaxia WordPress. Node.js está detrás de APIs, backends y herramientas internas de todo tipo. Cuando algo así se rompe, no se rompe un producto: se rompe una capa entera de internet.

Y esto no es teoría. Los intentos de explotación ya están en marcha. Solo en las últimas 48 horas se han contado más de 27 incidentes graves y la mayoría de voces técnicas avisa de que esto no ha hecho más que empezar.

Qué te puede pasar

• Robo de datos de clientes, usuarios o pagos. Si hay datos personales comprometidos, la ley obliga a notificarlo a la AEPD en un plazo de 72 horas.
• Ransomware: cifran tu información y piden un rescate por recuperarla.
• Web o aplicación caída o modificada, con lo que cuesta cada hora sin vender o sin dar servicio.
• Uso de tu servidor para enviar spam, alojar malware o minar criptomonedas, lo que suele acabar en listas negras de Google y de los proveedores de correo.
• Acceso a otros sistemas conectados: bases de datos, ERP, correo, copias de seguridad.
• Puertas traseras que se quedan instaladas aunque después se actualice.

Por qué esto vuelve a pasar (y seguirá pasando)

Lo incómodo de estas vulnerabilidades es que no aparecen de la nada. Llevan tiempo ahí, esperando. Lo que suele fallar es otra cosa:

• Versiones que nadie actualiza porque funciona y no se toca. La frase más peligrosa de la informática de empresa.
• Dependencias que nadie revisa. Tu aplicación no es solo tu código: es todo lo que arrastra detrás, y eso también hay que mantenerlo.
• Y sobre todo, la ausencia de un criterio claro para decidir qué se parchea primero, qué puede esperar y qué ni siquiera sabemos que existe. Cuando llega la alarma, los equipos sin criterio se paralizan o, peor, parchean a ciegas.

Ese criterio no se improvisa el día que salta la alarma. Se construye antes, y se mantiene. Es exactamente el trabajo que hacemos con los equipos que acompañamos: no solo parchear, sino dejar escrito qué se parchea, por qué y en qué orden, para que la próxima vez la decisión tarde minutos, no semanas.

Qué estamos haciendo por nuestros clientes

Básicamente dos tipos de medidas:

Prevención. Revisamos sus servidores y aplicaciones, identificamos qué versiones de PHP, Node.js y Brotli tienen (incluidas dependencias y contenedores) y aplicamos las actualizaciones. Donde no se pueda actualizar de inmediato, por ejemplo con PHP 7, ponemos medidas de contención y planificamos la migración. De paso revisamos configuración, accesos y copias de seguridad.

Rescate y contención. Si sospechan que ya los han atacado, o si en la revisión aparecen indicios, aislamos el sistema afectado, analizamos qué ha pasado y desde cuándo, limpiamos, restauramos y cambiamos credenciales. Si hiciera falta notificar a la AEPD, acompañamos en el proceso.

Si no sabes por dónde empezar

Contáctanos y vemos tu caso particular, nuestro equipo está preparado para este tipo de contingencias.