Vulnerabilidad crítica: qué significa y qué puede pasar de verdad

El miércoles escribí sobre PHP2Shell, los dos fallos de PHP que provocaron una actualización urgente en servidores de todo el mundo. Era un artículo para quien administra servidores: versiones, paquetes, configuración. Para quien no administra nada, la pregunta es bastante más sencilla: «¿Y esto a mí me afecta?».

Los titulares no ayudan a contestarla. «Vulnerabilidad crítica», «explotada activamente», «día cero»: suena todo igual de grave y no se entiende nada. Y esta semana ha habido donde elegir. Entre el jueves 15 y el miércoles 21 han coincidido noticias sobre cuatro problemas graves de seguridad que tocan cosas muy distintas: el motor de millones de webs, el servidor de películas que mucha gente tiene en casa, un programa con el que los informáticos entran en los ordenadores de las empresas y el router de casa.

Así que este artículo es para el resto: qué significa que algo sea «vulnerable», qué puede pasar de verdad y qué puedes hacer tú, aunque no tengas conocimientos técnicos.

Ilustración generada con IA para este artículo; no representa ningún caso real.

Antes de empezar, unas palabras

Una vulnerabilidad es un fallo que alguien podría aprovechar. Piensa en una cerradura: un día se descubre que un modelo concreto se abre con una tarjeta de plástico. Eso no significa que hayan entrado en tu casa. Significa que tu puerta tiene ese modelo de cerradura y que ahora lo sabe más gente.

Crítica es una nota. Los fallos se puntúan de 0 a 10 con una escala que se llama CVSS, y a partir de 9 se consideran críticos. La nota la suben sobre todo tres cosas: que no haga falta contraseña, que se pueda hacer desde lejos, sin estar delante del aparato, y que quien lo aprovecha consiga el control completo. Los cuatro casos de esta semana cumplen al menos dos de las tres.

Explotada quiere decir que ya hay alguien usándola de verdad, no en un laboratorio. El arreglo se llama parche. Y un ataque de día cero es el que aprovecha un fallo para el que todavía no hay parche cuando se utiliza: no había nada que instalar a tiempo.

Con eso ya se pueden leer los titulares.

1. El motor de tu web: PHP2Shell

Qué es. PHP es el programa que hace funcionar, por debajo, una parte enorme de las webs: casi todas las hechas con WordPress, muchas tiendas online, muchas webs a medida. Tu web es lo que se ve; PHP es el motor que la mueve en el servidor. Y el fallo estaba en el motor, no en tu web.

Qué podría pasar. Que alguien, sin usuario ni contraseña, consiga dar órdenes al servidor en el que está tu web. A partir de ahí, según cómo esté montado:

• Llevarse lo que la web tenga a mano: datos de clientes, pedidos, las claves con las que se conecta a otros servicios.
• Cambiar la web: meter páginas falsas, enlaces a estafas o redirigir a tus visitantes a otro sitio.
• Usar tu alojamiento para atacar a otros o para alojar estafas.
• Tumbarla, con lo que eso cuesta en ventas, en tiempo y en confianza.

Comprometer una web no significa automáticamente controlar el servidor entero ni las demás webs que comparten alojamiento: depende de cómo esté aislada cada cosa. Pero tampoco hace falta llegar tan lejos para que el daño sea serio.

Cómo está. El arreglo salió el miércoles 21. Amazon, Cloudflare y otras empresas que vigilan internet han visto intentos de ataque desde antes de que saliera, y una estimación que recoge Tenable habla de más de un millón de servidores accesibles desde internet que podrían estar afectados. No hay una cifra pública consolidada de sistemas comprometidos.

Lo que enseña: tu contraseña no te protege, y actualizar WordPress tampoco. El fallo no está en la puerta por la que entras tú, sino en el programa que atiende cada visita. WordPress corre encima de PHP, y si el PHP sigue siendo el viejo, el agujero sigue ahí.

2. El servidor de películas de casa: Plex2Shell

Qué es. Plex es un programa muy popular para montarse un «Netflix casero»: lo instalas en un ordenador o en un disco de red y te deja ver tus películas y series desde la tele, el móvil o fuera de casa. Esa última parte es la que lo deja accesible desde internet.

Qué ha pasado. Una cadena de fallos permite tomar el control del servidor Plex sin contraseña. Plex los corrigió en agosto, pero cuando el investigador que los encontró publicó los detalles, el viernes 16, hubo ataques reales al día siguiente. Ese día, según Gizmodo, había casi 49.000 servidores todavía sin actualizar y visibles desde internet.

Qué hacen con tu servidor. Dos cosas, y ninguna te va a saltar a la vista:

• Minar criptomonedas. Tu ordenador trabaja para otro: gasta luz, se calienta y va más lento, y el dinero se lo lleva quien lo ha puesto ahí.
• Convertir tu conexión en un «proxy residencial». Es decir, alquilar tu conexión a internet a terceros, que navegan haciéndose pasar por ti. Lo que hagan con ella sale con la dirección de tu casa.

Lo que enseña: no hace falta que nadie te elija. Muchos ataques son automáticos: hay programas que recorren internet preguntando a cada dirección «¿eres un Plex sin actualizar?», y no necesitan saber quién eres. Y el parche llevaba dos meses disponible: lo que dejó expuestos a esos servidores es que nadie lo instaló.

Y una segunda lección: actualizar no limpia. Según los analistas, lo que dejan los atacantes se esconde entre los archivos de Plex y vuelve a arrancar cada vez que ves un vídeo. El parche cierra la puerta, pero no echa a quien ya está dentro. Si tienes Plex accesible desde fuera y no lo has actualizado desde el verano, actualiza y revisa, o pide a alguien que lo revise.

3. La herramienta con la que el informático entra en tu ordenador: BeyondTrust

Qué es. Cuando el soporte informático de tu empresa te dice «déjame que me conecte a tu ordenador», está usando un programa de soporte remoto. BeyondTrust Remote Support es uno de los más usados en empresas grandes, y por cómo funciona guarda las llaves para entrar en muchísimos ordenadores a la vez.

Qué ha pasado. Un fallo permitía, sin contraseña, tomar el control del equipo central que gestiona esas conexiones. Se anunció el jueves 15, pero según Mandiant, el equipo de investigación de Google, ya lo estaba usando desde finales de agosto un grupo de espionaje que atribuye, como sospecha, a China. Un día cero: durante semanas no hubo parche que instalar. Una vez dentro, hicieron lo que hace cualquiera que encuentra un llavero: llevarse las contraseñas guardadas, darse permisos para entrar en los ordenadores conectados y borrar sus huellas.

Lo que enseña: a veces todavía no existe una actualización que puedas instalar. Entonces lo que cuenta es que alguien note algo raro, que haya un plan para el día después y saber quién tiene las llaves. Las herramientas de tus proveedores también son una puerta a tu casa, que es lo que contaba en la cadena de suministro.

Y vuelve la diferencia entre actualizar y recuperarse: el fabricante ya había aplicado el parche a la versión en la nube el 9 de octubre, pero eso no descartaba una intrusión anterior, y Mandiant recomienda también a esos clientes revisar contraseñas y configuración.

Si tienes una empresa y alguien te da soporte informático en remoto, no hace falta que sepas qué es BeyondTrust. Basta con que le preguntes qué herramienta usa para conectarse a tus equipos y si ya está actualizada.

4. El router de casa: WPSplinter

Qué es. Casi todos los routers tienen un botón WPS, el que sirve para conectar una impresora o un repetidor al wifi sin escribir la contraseña. El código que hay detrás de esa función lo escribió Broadcom, que fabrica los chips de millones de routers, y lo lleva dentro desde al menos 2010.

Qué ha pasado. El investigador belga Quentin Kaiser presentó el viernes 16, en un congreso en París, un fallo en ese código: alguien que esté al alcance de tu wifi puede tomar el control del router sin saber la contraseña. En su demostración, el router acaba enviándole la propia contraseña del wifi. Y lo de «al alcance» no significa al lado: según el investigador, se puede hacer «desde la acera de enfrente».

Lo incómodo. Según cuenta Kaiser, Broadcom conoce el fallo desde 2018 y no ha querido registrarlo oficialmente, porque considera ese software obsoleto. El arreglo depende de que cada fabricante y cada operadora actualicen sus routers, y algunos modelos antiguos no tienen por dónde. En la lista que publica el investigador, que él mismo avisa de que no está completa, aparecen como confirmados tres routers asociados a Movistar y O2: el Askey RTF3505VW, el Comtrend VG8050 y el MitraStar GPT-2541GNAC. Ojo: dentro de un mismo modelo puede cambiar la versión del aparato o de su software, así que compartir nombre no basta para saber si una unidad concreta está afectada.

Cómo está. Por ahora es una demostración de laboratorio: no consta que nadie lo esté usando de verdad. Y exige estar físicamente cerca, lo que lo hace mucho menos masivo que los otros tres.

Lo que enseña: a veces el arreglo no está en tu mano, y cambiar la contraseña no sirve de nada. El atacante no la necesita. Y desactivar el WPS desde el menú del router no garantiza que el componente vulnerable deje de funcionar, según el propio investigador. Lo que toca es mirar el modelo en la pegatina del router y preguntar a tu operadora si tiene actualización. Si el router tiene muchos años, pedirle que te lo cambie por uno actual es la solución más sencilla.

Los cuatro, de un vistazo

Cinco ideas para quedarse

1. Vulnerable no significa atacado. Significa que la cerradura tiene un defecto conocido. Es motivo para cambiarla, no para dar por hecho que te han robado.
2. Que todo funcione no demuestra nada. El servidor de Plex que mina criptomonedas sigue sirviendo películas, y la web comprometida sigue recibiendo pedidos. A quien entra le interesa que no lo notes.
3. Una contraseña fuerte no arregla un fallo del programa. En los cuatro casos el atacante entra sin contraseña. Las contraseñas protegen la puerta; esto es un agujero en la pared.
4. No hace falta ser importante para ser objetivo. Muchos ataques son automáticos: no buscan tu negocio ni tu casa, buscan cualquier aparato sin actualizar.
5. Actualizar y recuperarse son dos cosas distintas. El parche cierra el agujero; no saca a quien ya ha entrado ni deshace lo que haya dejado. Para eso están las revisiones y las copias de seguridad.

Lo único que te toca a ti

No necesitas saber actualizar un servidor ni lo que es un CVE. Lo que sí necesitas es saber quién se encarga de cada cosa, porque a veces las actualizaciones se quedan pendientes solo porque nadie tiene claro a quién le toca:

• Tu web: quién la mantiene, y si ya ha aplicado las correcciones de PHP de esta semana. Si la respuesta es «nadie», ese es el problema, y no es de esta semana: es lo que contaba en «No necesito mantenimiento web».
• Tu router: tu operadora. Una llamada para preguntar si tu modelo está afectado y si tiene actualización.
• Los aparatos de casa que se ven desde fuera (un Plex, un disco de red, unas cámaras): tú, o quien te los montara. Si no recuerdas haberlos actualizado nunca, empieza por ahí, y lo que no necesites ver desde fuera, desconéctalo de internet.
• Los ordenadores de tu empresa: tu proveedor de informática, y qué herramientas usa para entrar en ellos.

Esto es, en el fondo, lo que proponía la primera entrega de la serie de octubre: saber lo que tienes. Una semana como esta lo pone a prueba.

Si tienes una web y no sabes a quién hacerle la primera pregunta, escríbeme. Te digo qué hay que mirar, lo haga tu proveedor, lo hagas tú o lo haga yo.