Semáforo UOL: Requiere acción
Columna: la falla de PHP, los chats expuestos de Meta Muse y las nuevas herramientas de AWS y Google muestran que la IA avanza más rápido que los hábitos de las empresas; tres tareas concretas para una pyme uruguaya.
El 21 de octubre se publicaron dos fallas críticas en PHP, el lenguaje con el que funciona buena parte de los sitios web, con una gravedad de 9,2 sobre 10. En Uruguay, el especialista Richard Pérez contó unos 1.500 servidores con versiones vulnerables y el grupo Team Capybara estimó entre 3.500 y 4.200, según El Observador. Es el hecho más claro de una semana que deja una idea: las herramientas de IA avanzan más rápido que los hábitos de las empresas que las usan.
Qué pasó esta semana
Según Infobae, la firma Calif reportó las fallas de PHP en agosto, y OpenAI lo hizo de forma independiente el mismo día. Google Cloud atribuye su divulgación a PHP y a Wiz Research, y afirma que Wiz usó varios modelos de IA, entre ellos uno de Google, para identificarlas. El Observador, por su parte, indica que quienes las descubrieron usaron IA. Lo cierto es que hospitales, universidades y administraciones de varios países retiraron sus sitios por precaución, y que las versiones 8.1 y anteriores no reciben corrección. El detalle está en nuestra nota sobre las vulnerabilidades en PHP.
El segundo hecho fue más silencioso. La firma Claroc encontró unos 6.800 enlaces de conversaciones compartidas desde Muse, el agente de IA de Meta. Entre los que abrió había documentos internos y financieros de empresas. Nadie forzó nada: el título de cada conversación formaba parte de la dirección web y quedaba registrado en bases de datos públicas. Meta pausó la función de compartir mientras revisa el informe.
El tercero fue la respuesta de los proveedores. AWS lanzó Continuum, que analiza el código, prueba qué vulnerabilidades son explotables y propone el parche. Tiene un modo en el que una persona aprueba cada corrección y otro en el que actúa por su cuenta dentro de los límites que se le fijen. Google, a su vez, habilitó en Vault (su herramienta de archivo y auditoría) la exportación de las conversaciones con Gemini en Workspace.
Por qué importa en Uruguay
Según El Observador, varios portales del Estado quedaron fuera de servicio entre el 21 y el 22 de octubre, aunque no hay ataques confirmados en el país. Team Capybara señala que la exposición se concentra en organismos públicos, plataformas educativas, tiendas en línea, pymes y sistemas viejos hechos a medida. También advierte sobre sitios cuyos contratos de mantenimiento vencieron y que nadie actualiza.
La IA acelera a quien busca fallas y también a quien podría aprovecharlas. En concreto: quien espera a que el proveedor lo resuelva todo llega tarde.
Tres recomendaciones para su pyme
- Verifique hoy la versión de PHP de su sitio. Pregunte a su hosting o a su desarrollador cuál usa y si ya aplicó la corrección. Si usa la 8.2 o una anterior, pida pasar a la 8.3 o superior: según php.net, la 8.2 deja de recibir actualizaciones de seguridad el 31 de diciembre de 2026.
- Defina por escrito qué puede cargar su equipo en un asistente de IA. Contratos, datos de clientes y finanzas no deberían entrar sin una regla clara. Antes de compartir una conversación, compruebe si el enlace queda público y qué dice su título.
- Si automatiza tareas de seguridad o de administración, empiece con supervisión. Un modo en el que una persona aprueba cada cambio le permite medir los errores antes de ceder el control.
Un ejemplo hipotético: un estudio contable de Montevideo cuyo sitio armó un proveedor hace años puede pedir esta semana la versión de PHP por correo, fijar en una hoja qué datos de clientes no se cargan en asistentes de IA y revisar si el contrato de mantenimiento del sitio sigue vigente.
Contenido elaborado con asistencia de IA y revisado por el equipo editorial.
Fuentes:
- Infobae: Empresas y hospitales apagan sus páginas web tras un fallo crítico
- Google Cloud Blog: Responding to core PHP vulnerabilities
- El Observador: Sitios del Estado caídos y miles de servidores expuestos
- PHP: Supported Versions
- Ars Technica: Meta Muse exposes users’ secrets when they share conversations
- Claroc: GhostShares in Muse
- AWS What’s New: AWS Continuum for code vulnerabilities
- Google Workspace Updates: Vault exports for Gemini in Workspace
Por Sofía Rivero
Deje una respuesta