00:00Esta semana, dos graves vulnerabilidades en PHP, un lenguaje de programación utilizado en cerca del 70% de los sitios
00:09web del mundo,
00:10provocaron una alerta internacional de ciberseguridad.
00:13El pasado miércoles, portales gubernamentales, hospitales y servicios digitales de varios países suspendieron temporalmente sus operaciones,
00:22principalmente como medida preventiva.
00:23Para hablar de esto, me da mucho gusto saludar a Luis Trejo, académico del Tecnológico de Monterrey.
00:30Luis, gusto saludarte siempre a tu espacio.
00:32¿Qué sucedió para que podamos ampliar esto?
00:34Que hace unos días se vieron afectados distintas instituciones.
00:39Adelante, qué gusto saludarte.
00:41Sí, muy bien. Muchas gracias, Ricardo, por la invitación.
00:44Y sí, en efecto, esto surge el miércoles.
00:47Y bueno, la pregunta que nos hacemos, estamos ante una crisis mundial de Internet.
00:52Pues la respuesta es no, ¿verdad?
00:54O sea, sí hay un riesgo, como bien mencionaste, un 70% de los servicios web están comprometidos.
01:03Digo, la buena noticia es que el equipo de PHP el mismo miércoles, horas después, lanzó las correcciones o las
01:11versiones nuevas,
01:12los parches, como llamamos, y están disponibles.
01:16Entonces, creo que las acciones inmediatas al día de hoy es lo primero que tengo que hacer,
01:21es preguntarme si mis servicios de comercio electrónico, mi página web, está utilizando PHP.
01:30Si la respuesta es sí, pues tengo que proceder de manera inmediata a la actualización correcta, ¿verdad?
01:37Para estar protegidos y se acabó la historia.
01:39Pero entonces, el problema es si nos tardamos en actualizar con dichos parches.
01:45¿Sí?
01:45Esto para empezar, como mensaje inicial, Ricardo.
01:49Sí, se menciona, por ejemplo, que entre ellos hay sistemas de la Secretaría de Educación Pública,
01:54la Secretaría de Gobernación y Gobiernos Estatales,
01:56y el problema es que, pues acaba de aparecer esta falla que los pone a todos en la mira.
02:04Es correcto. De hecho, lo importante aquí es que no hay tamaño, ¿verdad?
02:09Aquí estamos hablando de cualquier gran empresa, corporativos,
02:14pero también pequeñas, microempresas, inclusive usuarios, ¿verdad?
02:21Domésticos, ciudadanos, como nosotros, que tenemos a lo mejor algún sitio web
02:26para cuestiones personales, algún catálogo de venta, de venta en Internet.
02:31Todos estamos en riesgo, ¿verdad?
02:36Repito, sin importar el tamaño, y por ende, el llamado, pues es muy importante
02:41a preguntarme si mi sitio está basado en PHP, que como también bien mencionaste,
02:46es un lenguaje de programación sumamente utilizado a nivel mundial,
02:50y la probabilidad que tu servicio esté utilizando PHP es muy alta.
02:54Entonces, no importa si eres una oficina gubernamental o una pyme o una micro,
03:00pero, pues, debes de hacer este llamado de manera inmediata, ¿verdad?, esta corrección.
03:06Y para quienes nos están viendo, se preguntan qué es el PHP.
03:11Es un lenguaje de programación con el que se construyen las páginas web,
03:18en tiendas en línea, por ejemplo, en muchos portales de gobierno.
03:21Lo usan el 70.2% de los sitios, cuyo lenguaje se conoce, es decir,
03:28parte fundamental de muchísimos portales, de muchísimos sitios,
03:32y que podría ocasionar muchísimos daños.
03:35En una consulta que se hizo a través de Milenio,
03:42encargado de una firma de ciberseguridad,
03:44menciona que en los próximos días podría ser caótico
03:48y podría ser una situación por falta de mantenimiento sumamente fuerte, Luis.
03:55Es correcto, de aquí hay llamado,
03:57y creo que es muy importante este espacio que estás dando
04:00para dar a conocer a la ciudadanía, a la audiencia, ¿verdad?,
04:04que hay un riesgo eminente.
04:06Y, bueno, si vale la pena recalcar el origen de este descubrimiento, ¿no?
04:10Esta falla es justamente una falla que tiene o ha estado latente
04:16por más de 20 años en este lenguaje de programación.
04:20Eso es lo increíble.
04:22¿Y cómo se encontró?
04:23Pues lo encontró una empresa utilizando de ciberseguridad,
04:27utilizando herramientas de OpenAI,
04:30y justamente el descubrimiento fue automático, ¿correcto?
04:36El descubrimiento se hizo con herramientas de IA,
04:40y se descubrió, pues, dicha vulnerabilidad.
04:44Esto, pues, genera, pues, la importancia, el lado positivo de la IA,
04:49cuando podemos utilizar la inteligencia artificial para un bien común,
04:53es encontrar y detectar vulnerabilidades,
04:56no solamente actuales o de día cero,
04:59sino que increíblemente llevan latentes más de 20 años.
05:02Y esto, pues, se debe a que, inclusive al día de hoy,
05:05muchas de las programaciones de estos sistemas
05:08se programan teniendo en mente,
05:11pues, tengo que llevarlo al mercado y necesito que funcione.
05:14Y olvidamos como desarrolladores
05:17programar con el paradigma de ciberseguridad, ¿no?
05:21Entonces, afortunadamente, esa práctica está cambiando,
05:23y hoy en día un sistema no solamente pasa por pruebas
05:27de si funciona o no,
05:28sino también pasa por pruebas de si es seguro o no.
05:31Entonces, recordemos esa parte,
05:33estamos ya ante un nuevo modelo de ciberataques,
05:37en el cual ya no son uno a uno,
05:39ya son ataques masivos.
05:42Digo, nada más para cerrar números,
05:44si más o menos contamos el número de servidores que hay en México,
05:48pues, estamos hablando de que al día de hoy
05:50pueden estar en riesgo del orden,
05:52en serio, de 100 mil servidores,
05:54no de 8 mil ni de 5 mil,
05:56del orden de los 100 miles.
05:58Y, además, esta revisión para ver si tu servicio es vulnerable o no,
06:04no se va a hacer paso a paso,
06:06se va a utilizar con una automatización masiva
06:09basado en IA para identificar a esos servidores
06:12que al día de hoy están o son vulnerables
06:16debido a la falla de PHP.
06:17El otro punto que quiero recalcar es que, por ejemplo,
06:20PHP no funciona como algunas otras soluciones.
06:23A ver, un ejemplo muy sencillo, Microsoft.
06:24Nosotros recibimos actualizaciones de Microsoft
06:29de manera continua cuando estamos trabajando en Windows
06:32y esas actualizaciones tienen justamente el objetivo
06:35de protegernos contra nuevas vulnerabilidades.
06:38Aquí no.
06:39PHP no funciona así.
06:40PHP desarrolla y es responsabilidad de nosotros
06:45justamente hacer esa actualización
06:47con nuestro equipo de seguridad
06:49o nosotros mismos,
06:50en caso de que no tenga un equipo de IT
06:52o un equipo técnico que me ayude en esto.
06:54Entonces, esto es muy importante, Ricardo, este llamado.
06:57Y sobre todo esta vulnerabilidad que ya mencionabas,
06:59la falla se activa con algo tan común
07:02como subir un archivo a una página.
07:05Algún atacante envía un archivo diseñado
07:07que agote, para que PHP agote su memoria.
07:11Ahí queda un hueco por el que se puede asomar información
07:15que aún no ha sido borrada.
07:16Y para esto, pues, no hace falta que exista un usuario,
07:20una contraseña o un formulario especial
07:23con que el servidor acepte recibir archivos,
07:26que es la forma en que viene configurado ya de fábrica.
07:30Es decir, hay mucha vulnerable,
07:31ya es muy curiosa,
07:32y se necesita que el servidor acepte estas peticiones
07:35y subir archivos, ¿no?
07:37Es correcto, y creo que el riesgo mayor es
07:41el atacante va a tener la posibilidad
07:44de entrar a tu sitio, extraer la base de datos,
07:47extraer información confidencial, difundirla,
07:51venderla en la Dark Web,
07:55y inclusive, pues, inyectar un ransomware en tu equipo.
08:00Entonces, va a tener la puerta abierta
08:02para hacer lo que quiera,
08:03extracción de datos confidenciales
08:05y inyección de ransomware.
08:07Entonces, el riesgo es muy alto,
08:08la puerta es muy amplia para el atacante.
08:11Sí, sí, lo mencionábamos ahorita,
08:13de los más o menos estimados 39,661 servicios
08:19con PHP detectados en el país,
08:21al menos 8,600 usan una versión sin parche posible,
08:26cerca de uno de cada cinco,
08:28y es un mínimo,
08:30porque muchos servidores ni siquiera revelan su versión,
08:34es decir, el costo va a ser muy alto,
08:36y como ya mencionábamos ahorita,
08:39es parte de esta información que tiene Milenio Televisión,
08:43con Víctor Ruiz, fundador de la firma de ciberseguridad,
08:48Zilic, pues, menciona que va a ser caótico,
08:53y eso lo ha asegurado.
08:55Así que, pendientes de lo que sigue ocurriendo,
08:57sobre todo en este tema.
08:59Me dio mucho gusto saludar a Luis Trejo,
09:02académico del Tecnológico de Monterrey.
09:04Le agradecemos que nos haya tomado la comunicación,
09:06como siempre, en tu espacio, Luis.
09:08Muchas gracias, Ricardo.
09:09Muy buen día a todos.
09:10Gracias.
