Una IA escribió el ataque en menos de una hora. ¿Cuánto tarda tu servidor en tener el parche?

El fallo está en la parte de Linux que acepta conexiones nuevas, antes de que el programa que hay detrás vea nada. No hace falta contraseña ni que nadie haga clic: basta con que el servidor tenga algo abierto a internet, como una web, el correo o un acceso remoto.

Lo encontró un investigador de Anthropic, la empresa de la IA Claude, y el arreglo entró en Linux a principios de octubre. El 27 de octubre Anthropic contó que un modelo suyo, todavía sin publicar, había escrito un ataque que daba el control total de un servidor en menos de una hora. No ha publicado ese ataque y nadie lo ha podido reproducir por su cuenta, así que lo tomo como lo que es: un aviso.

Lo que cambia

Hasta ahora, entre que se conocía un fallo y aparecía un ataque que funcionara solían pasar semanas. Si una IA lo hace en una hora, lo que cuenta es lo que tarda tu servidor en tener el parche puesto.

Y esos plazos no dependen de ti, sino de quien hace tu Linux. Con el mismo arreglo publicado, Oracle sacó su parche al día siguiente del aviso y Debian en menos de una semana. Red Hat tardó 17 días: primero lo calificó como moderado y lo subió a crítico después del anuncio de Anthropic.

Ubuntu, de lo más usado en servidores, corrigió primero su versión de soporte corto. El 3 de noviembre, a los 19 días, las versiones de largo plazo, que son las que llevan casi todos los servidores, seguían en pruebas. Y en los NAS y routers, que también llevan Linux, no encontré aviso ni de Synology ni de QNAP.

Ese mismo 3 de noviembre revisé los servidores que llevamos. Uno ya estaba corregido, porque su distribución había sacado el parche a los pocos días. Los otros usan Ubuntu y siguen esperando el suyo, así que mientras tanto bloqueamos el tipo de conexión que usa este fallo y apagamos la función por la que entra el ataque. En cuanto salga el parche, se instala y se reinician.

Tres preguntas para quien te lleva el servidor

1. ¿Qué tenemos con Linux? La web, el servidor de la oficina, el NAS de las copias, el router o la centralita.
2. ¿Cuándo se instaló el último parche del núcleo, y se reinició después? Sin reiniciar, el parche no sirve.
3. ¿Qué está abierto a internet que no haga falta? Lo que no está abierto no se puede atacar desde fuera.

Si la respuesta a la segunda es «no sé», ya tienes la respuesta.