La alerta por dos vulnerabilidades críticas en PHP ha llevado a varias instituciones europeas a desconectar preventivamente sus páginas web mientras revisaban sus sistemas y aplicaban las actualizaciones de seguridad. Los fallos podían permitir la ejecución remota de código en servidores vulnerables y su alcance potencial ha generado especial preocupación por la presencia de este lenguaje en buena parte de la infraestructura de internet.

Para Jaume Palau, CEO de cdmon, estos avisos forman parte de un fenómeno más amplio: la aparición, en un periodo muy corto, de vulnerabilidades graves en distintas herramientas y servicios. Su explicación apunta a la inteligencia artificial, aunque insiste en presentarla como una posibilidad: “Mi hipótesis, y quiero dejarla clara como hipótesis, es que tiene que ver con la IA. No porque la IA haya creado los fallos, sino porque ha abaratado muchísimo encontrarlos”.

La distinción es relevante. Palau no atribuye a la inteligencia artificial la creación de los errores de PHP, lo que plantea es que la creciente capacidad de los modelos para analizar código puede estar cambiando la velocidad a la que salen a la luz problemas que antes requerían mucho más tiempo y recursos para ser detectados.

La misma herramienta para los dos lados

Una de las claves es quién puede utilizarlas. Hay modelos de pesos abiertos que se pueden descargar y ejecutar en un ordenador propio, sin contratar un servicio. “Los puede usar un investigador, un desarrollador y también alguien con malas intenciones”, señala.

Eso facilita el trabajo a quienes buscan una forma de entrar en un sistema, pero también a quienes tienen que protegerlo. Y Palau cree que esa segunda parte está quedando en un segundo plano: “El mismo modelo que encuentra el fallo para explotarlo lo encuentra para arreglarlo”.

Para explicarlo, recurre a una conocida viñeta de xkcd. El dibujo muestra una enorme torre de piezas que depende de un pequeño componente mantenido desinteresadamente por una persona en Nebraska desde 2003. La imagen resume una realidad poco visible para quienes usamos internet: detrás de grandes plataformas y servicios puede haber pequeños proyectos de software libre con muy pocas personas y recursos para mantenerlos.

Revisar ese código cuesta tiempo y dinero. Por eso, Palau ve en la IA una oportunidad para llegar a programas que nunca han podido pagar una revisión a fondo. “Ese proyecto de Nebraska puede recibir por fin el informe de auditoría que nunca pudo pagar”, apunta.

Su lectura es positiva: “Es la mayor oportunidad de saneamiento del software libre que hemos tenido en mucho tiempo”. La posibilidad de encontrar errores antiguos también abre la puerta a corregirlos y reforzar las piezas de las que dependen muchos otros servicios.

El problema es llegar a tiempo

Pero descubrir un fallo es solo el principio. Después hay que comprobar a quién afecta, preparar una solución e instalarla. Y durante ese tiempo también puede haber alguien buscando cómo aprovecharlo. “Y el atacante tiene el mismo modelo que nosotros”, advierte Palau.

Un error puede llevar años en un programa sin que sus responsables sepan que está ahí. Si ahora resulta más fácil encontrarlo, también aumenta la urgencia de arreglarlo. “El volumen de parcheo se está multiplicando y los equipos de personas vamos a ser los mismos”, sostiene.

La alerta de PHP muestra esa presión: los responsables de los servicios tienen que revisar qué versiones utilizan, comprobar si están afectadas y actualizar. Algunos pueden hacerlo de inmediato; otros optan por desconectar temporalmente sus aplicaciones hasta poder corregirlas.

Palau prevé unos meses de adaptación. Su preocupación es que la capacidad para descubrir fallos avance más rápido que la capacidad de los equipos para responder. “El ritmo ya no es una cuestión de disciplina, es una cuestión de velocidad relativa”, resume.

¿La propuesta? Unirse a la inteligencia artificial: “Si no estás usando IA en tu trabajo diario, estás compitiendo con velocidad humana contra velocidad sintética. En mi experiencia la diferencia no es de un veinte por ciento, es de uno o dos órdenes de magnitud”.

“No hablo de sustituir el criterio de nadie. Hablo de que la parte mecánica del trabajo, la de inventariar, correlacionar, leer un diff, revisar una configuración o redactar el aviso al cliente, ya no debería costarte horas”, afirma.

Pero termina siendo optimista: “Los que no incorporen esto no van a quedar expuestos por falta de talento, van a quedar expuestos por falta de ritmo. La parte buena es que la misma herramienta que le nivela el terreno al atacante nos lo nivela a nosotros. Y llegamos antes si empezamos hoy”.

Hay imágenes de la industria espacial a las que nos hemos acostumbrado demasiado rápido. Ya no le sorprende a casi nadie que un cohete despegue, cumpla su misión y vuelva a colocarse en vertical sobre una plataforma en mitad del mar. No sé si se ha convertido en algo cotidiano o es que nosotros nos hemos vuelto menos impresionables por la sobreexposición de información que recibimos diariamente.

Sin embargo, no todo es corriente en el mundo de las naves y los propulsores espaciales: una superestructura ‘con brazos’ capaz de atrapar al vuelo un gigante como Starship sigue sin ser algo que se vea todos los días.

SpaceX quiere llevar un paso más allá lo que ya consiguió en vuelos anteriores, esta vez por partida doble. Elon Musk, CEO de la compañía, anunció durante la presentación de resultados del tercer trimestre que intentará capturar las dos etapas de Starship en su próximo vuelo de prueba, el número 15, previsto para noviembre. Así, además de intentar recoger el propulsor Super Heavy, los ‘palillos’ gigantes del sistema conocido como Mechazilla tendrán el desafío añadido de intentar recuperar también la nave.

Serán dos maniobras separadas dentro de una misma misión, ya que el propulsor y la nave realizan trabajos diferentes y, asimismo, regresan a la Tierra de manera distinta y en momentos distintos.

Qué hace Mechazilla, por qué atrapar Starship es un logro y cuál es el objetivo de la maniobra

Mechazilla utiliza dos grandes brazos metálicos instalados en una torre para recoger el vehículo cuando regresa. Pero los brazos no frenan su caída: el propulsor o la nave deben controlar su trayectoria y encender los motores para reducir la velocidad y colocarse en el punto de captura.

Capturar Starship es, sin embargo, más difícil: Super Heavy se separa durante el ascenso y vuelve a Tierra, mientras que la nave continúa su viaje y regresa desde órbita a mayor velocidad y necesita que su escudo térmico la proteja del intenso calentamiento de la reentrada. Después debe controlar el descenso y frenar con sus motores hasta situarse entre los brazos. La captura también tiene que evitar daños en las losetas del escudo térmico, una dificultad que los ingenieros de SpaceX han señalado en otras ocasiones.

La clave está en el por qué: la razón de dedicar tantos esfuerzos a una maniobra que parece sacada de una película es que SpaceX quiere reutilizar el sistema completo. La captura permite recuperar el vehículo junto a la infraestructura de lanzamiento, donde puede inspeccionarse y prepararse para otra misión. La compañía plantea ese diseño como una forma de facilitar la reutilización y reducir el tiempo entre vuelos.

Pero recuperar un vehículo no significa conseguir que vuelva a volar (o hacerlo con poco mantenimiento). Una captura exitosa en esta prueba solo demostraría lo primero, mientras que para comprobar lo demás hay que revisar los componentes, evaluar los daños y repetir el proceso.

Apagar el móvil cinco minutos al día para protegerse de los virus. Ese es el consejo que Pedro Sánchez contó en La Revuelta que había recibido de los responsables de Sistemas de Moncloa tras el espionaje con Pegasus. Pero su utilidad como medida de ciberseguridad es limitada y depende del tipo de amenaza, tal y como explica a 20minutos Josep Albors, responsable de Investigación y Concienciación de ESET España: “Solo se aplica para casos concretos en los que el malware está presente en la memoria RAM, que se borra cuando reinicias el dispositivo”.

El especialista distingue esos casos de las amenazas habituales: “Para la mayoría de los usuarios, que nos enfrentamos a amenazas más mundanas, este consejo, en materia de ciberseguridad, sirve de poco”, señala. Eso no significa, sin embargo, que reiniciar sea inútil y Albors comenta que realizar “cada cierto tiempo” esa pequeña acción “nunca está de más”, ya que “liberas memorias y cierras aplicaciones en segundo plano que podrían estar consumiendo recursos, consiguiendo así, en muchas ocasiones, que el smartphone vaya más fluido”.

Qué puede eliminar un reinicio y qué puede sobrevivir

Algunos programas maliciosos permanecen únicamente en la memoria temporal del dispositivo. En esos casos, reiniciar puede eliminar la infección activa. Otros consiguen “persistencia en el sistema”: permanecen instalados y pueden volver a ejecutarse después de apagar y encender el teléfono. Según Albors, es esta segunda situación la que afecta a las amenazas habituales del usuario corriente.

El consejo de apagar y encender el teléfono no es nuevo. Como ya contamos en 20bits, la NSA recomienda hacerlo al menos una vez por semana y la justificación es la misma que la que indica el responsable de Investigación y Concienciación de ESET España: interrumpir ciertos programas maliciosos que solo permanecen en la memoria temporal del móvil. Al reiniciar, desaparecen y el atacante tendría que volver a infectarlo. Pero ese gesto no cierra el fallo de seguridad por el que entraron ni elimina todas las amenazas.

Pensemos, por ejemplo, en una aplicación maliciosa que hemos instalado sin darnos cuenta. Apagar el teléfono no la desinstala: puede seguir ahí cuando volvamos a encenderlo. Por eso, desconectarlo unos minutos no basta para resolver cualquier infección y hay otras formas de actuar frente al malware móvil. Lo importante es identificar qué ha ocurrido y actuar sobre la causa, sin dar por hecho que el problema ha desaparecido porque el móvil vuelve a arrancar con normalidad.

Qué es Pegasus y cómo funciona

Pegasus es un programa de espionaje desarrollado por NSO Group. Permite acceder a información del teléfono y utilizar funciones como la cámara o el micrófono. Albors explica que puede emplear distintas técnicas. En algunas versiones, el programa espía permanece únicamente en la memoria RAM para dejar menos rastro. Un reinicio puede eliminarlo, pero eso no corrige la vulnerabilidad que permitió entrar al atacante. “Aunque se eliminase el spyware con un reinicio, si no se parchea la vulnerabilidad explotada, con solo saber el número de teléfono de la víctima se podría volver a infectar ese dispositivo”, advierte.

El especialista recuerda que determinados ataques no requieren ninguna interacción de la víctima. El atacante puede volver a intentar comprometer el teléfono sin que su propietario pulse un enlace o descargue un archivo, mientras siga disponible el fallo de seguridad.

En versiones específicas, añade Albors, el software espía también puede conseguir persistencia en el sistema y sobrevivir al reinicio, aunque eso aumente el riesgo de dejar huellas en el dispositivo. Por tanto, apagar y encender no garantiza eliminar una infección.

¿Somos todos vulnerables a Pegasus?

Albors insiste en que el caso de Pegasus no debe confundirse con el riesgo cotidiano de cualquier usuario: estas herramientas se dirigen a objetivos seleccionados y generalmente son utilizadas por agencias estatales en operaciones de espionaje. “Lo único que debe quedar claro es que este software no está dirigido a los usuarios comunes”, subraya.

Es decir: la mayoría de las personas se enfrentan a amenazas de seguridad relacionadas con enlaces fraudulentos o aplicaciones maliciosas, por lo que las recomendaciones que deberían seguir no tienen por qué ser las mismas que las dirigidas a alguien expuesto a vigilancia, como es el caso de los afectados por Pegasus.

Tres sencillos gestos para proteger tu móvil

Para el usuario habitual, Albors propone priorizar tres medidas:

• Mantener actualizado el dispositivo, para incorporar las correcciones de seguridad disponibles.
• Desconfiar de enlaces no solicitados y de aplicaciones que no procedan de fuentes oficiales.
• Contar con una solución de seguridad que analice el dispositivo y las conexiones, por ejemplo, al descargar un archivo. Las funciones disponibles dependen del sistema operativo y de sus permisos.

Regresar a la Luna es el sueño espacial de la década. Primero se habló de 2024. Después llegaron los retrasos, los cambios de responsables y una reorganización de las misiones. Entre medias, Estados Unidos pasó por las administraciones de Donald Trump, Joe Biden y de nuevo Trump. El objetivo actual de la NASA es que los astronautas vuelvan a pisar suelo lunar en 2028, pero, ¿en qué punto se encuentra el programa Artemis?

La agencia estadounidense ofrecerá una actualización este viernes, 23 de octubre, a las 20:00 horas en la España peninsular. Participarán el administrador de la NASA, Jared Isaacman; el administrador asociado, Amit Kshatriya, y el responsable de Artemis, Jeremy Parsons, y, según la convocatoria oficial, explicarán los avances hacia el alunizaje y los preparativos de Artemis III, la próxima misión tripulada. La intervención podrá seguirse a través de NASA Live.

Artemis III no aterrizará en la Luna

Entre tantos cambios, es fácil perderse con los nombres. Artemis II llevó este abril a cuatro astronautas alrededor de la Luna, en un viaje de casi diez días a bordo de Orion. Fue la primera misión tripulada del programa, pero no incluía un alunizaje. La siguiente tampoco lo hará.

Artemis III está prevista para 2027 y se quedará en órbita terrestre, donde sus tripulantes probarán el encuentro y el acoplamiento de Orion con los vehículos que desarrollan SpaceX y Blue Origin. Es decir, ensayarán cómo acercarse y unirse a las naves que deberán transportar a los astronautas hasta la superficie lunar.

La tripulación, anunciada en junio, estará formada por Randy Bresnik, Frank Rubio, Andre Douglas y el astronauta de la Agencia Espacial Europea Luca Parmitano.

El primer alunizaje del programa corresponde ahora a Artemis IV. Una presentación de Steve Creech, responsable de los módulos de alunizaje de la NASA, preparada para el Congreso Internacional de Astronáutica de octubre y recogida esta semana por Daniel Marín en Eureka, sitúa esa misión a principios de 2028. Después llegaría Artemis V, con un segundo alunizaje a finales del mismo año.

Qué falta antes de llevar astronautas

Llegar hasta la Luna no es lo mismo que aterrizar en ella. Orion es la nave que transporta a los astronautas desde la Tierra y los trae de vuelta, pero no está diseñada para bajar a la superficie lunar. Para hacerlo, la tripulación necesitará otro vehículo: un módulo al que pasarán antes de descender y que después deberá devolverlos a la órbita de la Luna.

La NASA trabaja para ello con SpaceX y Blue Origin. Antes de que sus transportadores lleven personas, ambos deberán demostrar que pueden alunizar sin tripulación. También hay que comprobar los sistemas de las cabinas y ensayar cómo se unirán a Orion para que los astronautas puedan pasar de una nave a otra, que es lo que se probará el próximo año en Artemis III.

La comparecencia del viernes servirá para conocer cómo avanzan estos trabajos y qué pasos quedan para cumplir el objetivo de 2028.