El 69% de les webs de tot el món utilitzen un llenguatge de programació anomenat PHP. Com aquesta pàgina. I la teva, segurament també. I el passat 21 d’octubre es va fer pública una fallada crítica de seguretat PHP que posava en escac milions de webs de tot el món: un atacant podia, sense usuari ni contrasenya, prendre el control del servidor de la web. No de la pàgina, sinó del servidor. És a dir: correu, arxius, codi, etc.
El curiós del cas és que la fallada crítica existia des de feia més de 10 anys, però ningú se n’havia adonat. Una IA ho va fer. I aquí és on el relat no és únic. Perquè no se sap si primer la van descobrir els dolents (els que volien aprofitar-se de l’error) o la PHP Foundation (encarregada de controlar aquest llenguatge de programació). Amazon, per exemple, va detectar intents d’atac des del 17 d’octubre, quatre dies abans que existís el pedaç.
Quan va saltar l’alarma, algunes organitzacions o governs van decidir voluntàriament tancar les seves webs fins que se solucionés el problema: Wikipedia, Steam o els governs dels Països Baixos, França o Alemanya.
Ràpidament, PHP va llançar un pedaç per arreglar l’error crític, però ja han avisat que podria no ser l’únic que apareixés.
La importància del servidor davant una fallada de seguretat PHP
Aquest cas ens recorda la importància de tenir una web allotjada en un servidor de qualitat i confiança. La web és una de les parts més importants de molts negocis. L’entrada de comandes, de formularis, de leads. I moltes vegades, quan parlem amb un client, no sap ni on la té allotjada, ni quant paga, ni què és el que està pagant. Que ja et dic que, la majoria de les vegades, és molt més del que necessiten.
A Marficom, ens ha servit per confirmar que estem en el bon camí professional. Per diversos motius.
Vigilància activa: primer, perquè estem connectats amb diversos sistemes d’alerta per saber a l’instant qualsevol avís oficial o notificació: php.net, INCIBE, CERT, etc.
Inventari previ: sabem perfectament quina versió PHP té cada web i estem al dia de la seva actualització.
Actuació ràpida: aplicació del pedaç de seguretat de PHP la mateixa nit que es va fer pública la incidència.
Comunicació proactiva: explicar al client a l’instant què passa, en què l’afecta i com hem actuat. Sense alarmisme, sense tecnicismes.
Revisió constant: seguir monitoritzant logs i arxius per detectar qualsevol detall sospitós.
Còpies de seguretat al dia: imprescindible. Fer cada dia una còpia de seguretat de tot, recuperable amb un sol clic.
Interlocutor de referència: una persona a l’altre costat disposada a resoldre dubtes i a respondre directament.
No es tracta només de tenir una web. Sinó d’on tens aquesta web, el domini, el correu… Com la tens allotjada. I en quines mans la deixes. Perquè quan sorgeixen els problemes, és quan es veu qui et dóna solucions de veritat.