Mil parches y una pesadilla administrativa
Microsoft acaba de romper el marcador con su último Patch Tuesday. No es que hayan soltado un parche de mantenimiento habitual, es que han arreglado casi 1.100 vulnerabilidades de un solo golpe. Para que te hagas una idea de la magnitud, es como si hubieran decidido reconstruir los cimientos de media ciudad porque se dieron cuenta de que alguien se olvidó de poner el cemento hace años.
Cuando vi la noticia en Krebs on Security, lo primero que pensé fue en los administradores de sistemas que tengan que lidiar con esto. Si alguien tenía planeado un fin de semana tranquilo o un puente, puede ir olvidándose. Gestionar un volumen así no es solo darle a instalar; es cruzar los dedos para que el despliegue no tumbe algún servicio crítico que lleva funcionando desde el pleistoceno. La cantidad de fallos es tan absurda que me pregunto si no se les ha acumulado el trabajo por pura desidia o si es que, simplemente, el ecosistema de Windows se ha vuelto un coladero tan grande que ya no pueden seguir ocultando la basura bajo la alfombra.
Lo que más me mosquea de todo esto no es la cifra en sí, aunque 1.100 sea un número que asusta. Lo que me hace gracia, por no decir otra cosa, es la normalidad con la que aceptamos este caos. Vivimos bajo sistemas operativos que son literalmente queso gruyer, y nuestra forma de gestionarlo es confiar en que, una vez al mes, el gigante de Redmond nos mande un paquete gigante con la esperanza de que los hackers no hayan aprovechado el agujero el día antes.
A mí este tipo de situaciones me recuerdan a cuando te toca hacer limpieza a fondo en el trastero. Sabes que hay mierda, sabes que has ido dejando cosas ahí que no deberías, pero esperas a que la situación sea insostenible para ponerte. Aquí la diferencia es que ese trastero es el que sostiene gran parte de la infraestructura digital del planeta. Es un recordatorio bastante crudo de que la seguridad en el software comercial es, muchas veces, una ilusión que mantenemos a base de parches reactivos. No estamos previniendo problemas, estamos apagando incendios forestales con una manguera de jardín.
Si eres de los que gestiona infraestructura, paciencia. No queda otra. Prioriza lo crítico, automatiza lo que puedas y, sobre todo, ten una copia de seguridad que sepas que funciona de verdad. Al final, estos parches masivos no son más que una prueba de estrés para cualquier equipo de IT. La realidad es que, mientras sigamos dependiendo de monolitos de software que crecen de forma descontrolada, vamos a seguir viendo estos números récord. Y sinceramente, me cuesta creer que la tendencia cambie pronto porque el negocio no está en hacer software seguro desde el día uno, sino en arreglarlo una vez que ya está en manos de todo el mundo.
Fuente: Krebs on Security