El voluntario checo que empaquetó el parche de dos fallos de PHP

El ingeniero checo Ondrej Surý, de 49 años, empaquetó el código que corregía dos vulnerabilidades de PHP, el lenguaje de programación presente en el 70% de las páginas web del mundo, y lo adaptó a versiones antiguas para que miles de desarrolladores pudieran instalarlo con rapidez.

¿Qué hizo exactamente Ondrej Surý?

Surý se define en su perfil de Patreon como «el principal empaquetador de PHP para Debian y de otros paquetes». Su tarea consistió en preparar el código parcheado «para que fuera rápido de instalar» y, sobre todo, en adaptarlo a versiones antiguas de PHP. Con ello ahorró muchas horas de trabajo a miles de desarrolladores que, de otro modo, habrían tenido que hacerlo por su cuenta.

Su rastro público es reducido: 273 seguidores en la red social Mastodon y 490 personas que le aportan 1.539 euros al mes a través de Patreon. Cientos de mensajes en redes le agradecieron la labor y algunos titulares lo llamaron héroe anónimo. Él respondió: «He hecho esto durante mucho tiempo, para mí es lo normal».

¿Qué tan graves eran las dos vulnerabilidades?

En agosto, dos empresas de seguridad estadounidenses descubrieron dos fallos en PHP. Antes de que se publicara el parche se produjo una filtración. Los atacantes podían usar esas vulnerabilidades para modificar la web, robar datos de clientes actuales o futuros e incluso acceder a otros ordenadores. En solo unas horas, docenas de agencias y políticos lanzaron alertas de actualización inmediata.

¿Quién mantiene el software del que depende internet?

Courtney Miller, profesora de la Universidad George Washington, lo confirma: «El software de código abierto es un movimiento sostenido por voluntarios. Muchas empresas se benefician de él, pero, en última instancia, buena parte lo lideran individuos. A menudo hay una sola persona manteniendo un proyecto». Ese mantenimiento puede interrumpirse por un cambio de trabajo, la pérdida de interés o la falta de tiempo.

Daniel Stenberg, desarrollador sueco que creó y mantiene desde hace décadas la herramienta de transferencia de datos curl, presente en miles de millones de dispositivos, apunta a las empresas: «La falta de visión y la mentalidad de “no estamos obligados a pagar, así que no pagamos” es lo que hace que las peores situaciones se repitan una y otra vez».

Michael Schwartz, director técnico de la empresa de ciberseguridad Censys, sostiene que «hay cientos de programas en la misma situación» y compara el caso con piezas de coche de distintos fabricantes que solo mantiene un grupo pequeño de voluntarios.

¿Por qué la inteligencia artificial aumenta la carga de estos mantenedores?

La inteligencia artificial acelera el descubrimiento de vulnerabilidades y, con ello, el volumen de trabajo de quienes mantienen el software de forma voluntaria. El programador conocido como 0xosprey publicó un gráfico, elaborado con ayuda de inteligencia artificial, que reúne las vulnerabilidades registradas en la lista oficial CVE (Vulnerabilidades y Exposiciones Comunes) para observar su crecimiento. La curva acompaña, en parte, a las declaraciones de responsables políticos: el ministro de Defensa de Reino Unido, Wes Streeting, instó la semana pasada a los británicos a acumular agua y comida en casa ante las múltiples crisis que afronta el mundo, entre ellas los ciberataques.

¿Qué pide Surý?

«Cuanto antes la gente se dé cuenta de que el software debe ser mantenido, más seguros estaremos», afirma el ingeniero. El episodio deja abierta la cuestión de cómo se financia ese mantenimiento: en su caso, con aportaciones voluntarias de 490 personas que sostienen su trabajo mes a mes.

Preguntas frecuentes

¿Quién es Ondrej Surý?

Un ingeniero checo de 49 años que se define como el principal empaquetador de PHP para Debian y otros paquetes. Realiza ese trabajo de forma voluntaria y recibe 1.539 euros mensuales de 490 personas a través de Patreon.

¿Qué ocurrió con PHP en 2026?

Dos empresas de seguridad estadounidenses descubrieron en agosto dos vulnerabilidades en ese lenguaje. Antes de publicarse el parche hubo una filtración y docenas de agencias y políticos pidieron actualizar de inmediato.

¿Qué porcentaje de internet usa PHP?

PHP está presente en el 70% de las páginas web del mundo, según los datos recogidos en la información publicada sobre el caso.

¿Puede repetirse una situación así con otros programas?

Michael Schwartz, director técnico de Censys, afirma que hay cientos de programas en la misma situación que PHP, mantenidos por grupos muy pequeños de voluntarios.

Con información de feeds.elpais.com.

Imagen de referencia, no corresponde a los hechos narrados. Free circuit board macro image — rawpixel / Wikimedia Commons (CC0 1.0)