El hilo se parte entre apocalípticos y el comando mágico

El hilo se parte entre apocalípticos y el comando mágico​

El hilo arranca con la alerta del FBI y se parte en dos a la velocidad de un clic. Por un lado, los que ya están guardando la vajilla buena. Por otro, los que repiten que esto se arregla con una línea de consola. Y en medio, Xenforo: el foro mismo corre sobre PHP, así que el susto deja de ser ajeno en el segundo mensaje.

Qué se ha sabido​

El 21 de octubre, un usuario enlaza el aviso del FBI que pide desconectar servidores y parchear de inmediato. Otro trae un tuit sobre las claves privadas de **8 certificados** de la autoridad india eMudhra: Mozilla bloqueó los certificados en **3 horas**, y una de las claves, que debía ser un número de **116 dígitos**, tenía **4**. También circula un vídeo de YouTube sobre la alerta mundial por el fallo de PHP, y un enlace a la documentación de Xenforo que confirma que el software está programado en PHP. Alguien avisa de que YouTube no funcionaba la noche anterior. Y se cuela un enlace a un sitio para adultos, que queda como anécdota.

Dónde está la bronca​

El choque es de manual: «los servidores solo tienen que actualizar php con un comando» frente a la letanía de que hospitales, bomberos y administraciones corren sobre pilas de software que nadie ha tocado en una década. Un participante sostiene que cualquier empresa conectada a internet puede ser comprometida y que la IA avanza más rápido que las actualizaciones. Otro responde que esto es una exageración. La discusión deriva hacia si conviene que caiga la red entera: unos lo ven como un castigo merecido a la dependencia digital, otros recuerdan que lo jodido sería que afectara a infraestructuras críticas. Y aparece el consuelo analógico: DVDs, revistas y lectores de sobremesa como plan B. La ironía sobre el «comando mágico» recorre varias páginas.

Qué cambia respecto a antes​

Lo que era un aviso lejano sobre servidores ajenos se convierte en un problema doméstico: el foro mismo está en la lista. La predicción de que el apagón llegaría antes de que acabe octubre gana adeptos. Y entra un asunto nuevo: la autoridad certificadora india y sus claves de cuatro dígitos, que nadie había mencionado hasta ahora.

El cálculo que circula​

Un forero echa la cuenta: si cada clave debería ser un número de 116 dígitos y una tenía 4, cualquiera puede adivinarla y falsificar certificados HTTPS para cualquier web. No es una hipótesis remota: Mozilla tardó tres horas en bloquearlos. La pregunta que queda flotando es cuántas autoridades más estarán en la misma situación sin que nadie lo haya mirado.

Cronología del susto​

**21 de octubre**: aviso del FBI, tuits de alerta, el enlace a Xenforo. **Noche del 21 al 22**: YouTube falla. **22 de octubre**: el hilo se divide entre los que ya han parcheado y los que están comprando DVDs. La pregunta sigue en el aire: ¿alguien habrá actualizado el servidor antes de que llegue el próximo hallazgo?