Eduardo Taboada

Me congratula que ahora todo el mundo parece interesarse por el estado de la seguridad y las actualizaciones. No hemos recibido nunca tantas preguntas sobre si sus servicios están actualizados. Vamos a ver, nuestros servicios se actualizan automáticamente con cada CVE de las librerías, binarios, todo lo que haya en nuestra plataforma... o el Sistema Operativo. Esto es así en casi todos los proveedores que se precien, estoy seguro y en España hay un buen nivel de profesionalidad. El revuelo que hubo con PHP fue fundamentalmente debido a dos factores, que el PoC se hizo público antes de tener los parches al problema y que el nivel de la base usada en el mundo es tan grande que podía provocar un tsunami en toda la IT a nivel mundial, además de que una inmensa mayoría aun corre en versiones EoL. La posibilidad existe de explorar el php2shell, si. No es sencilla de explotar en producción por varias razones que no explicaré ya que son técnicas y no es el proposito de este "desahogo", pero más le valdría a la gente invertir en adaptar sus desarrollos a las versiones con soporte o que no están EoL desde hace años... Otra cosa es el software que vive en esa plataforma, también debe de cumplir unas normas en desarrollo seguro y buenas prácticas. Yo entiendo que la gente desaparece, las empresas desaparecen y continuamos usando cosas desactualizadas de un proyecto a medida que ya nadie mantiene porque "funciona"... pero preocuparse cuando Santa Barbara truena, no sirve de mucho. La seguridad es una disciplina metódica, del día a día, es algo que tienes que tener interiorizado, monitorizado, es algo sistemático que tener en tus procesos del día a día o morir. Es algo te romperá si bajas la guardia. Lo que tengo claro es que en España somos unos "todólogos"...