Microsoft lanza la cifra récord de 972 parches: Se acelera la carrera por asegurar la infraestructura heredada

Una limpieza monstruosa en las profundidades de Windows

El paquete de actualizaciones de seguridad de septiembre de Microsoft (Patch Tuesday) se convirtió en el mayor de la historia. La empresa publicó correcciones para la increíble cifra de 972 vulnerabilidades, 112 de las cuales fueron etiquetadas como críticas. Esto también incluye parches para fallos de día cero (zero-day) que los atacantes ya estaban explotando activamente para tomar el control de sistemas ajenos.

Esta escala masiva de parches afecta a todo el espectro de productos, desde Windows y Office hasta los servicios en la nube y las herramientas para desarrolladores. Los equipos de seguridad de todo el mundo tuvieron que pasar de forma imprevista a un modo de crisis para poder probar y desplegar un paquete tan masivo sin echar abajo los sistemas de producción.

El fin de la ilusión de la infraestructura heredada segura

Para los administradores y los CISO, esto cambia la perspectiva sobre la estabilidad de los sistemas establecidos. Un número tan enorme de fallos de golpe revela una profunda deuda técnica y el hecho de que incluso componentes de Windows con décadas de antigüedad siguen conteniendo vulnerabilidades fundamentales (por ejemplo, en la autenticación o los protocolos de red).

También supone una enorme presión para los procesos corporativos. Muchas organizaciones tienen procesos de aprobación rígidos para el despliegue de actualizaciones, que sencillamente no prevén un paquete de mil elementos. Si retrasan el despliegue, se exponen a los atacantes, que ahora saben exactamente qué buscar.

El parcheado como una cinta de correr interminable

Una cifra récord puede sonar como la prueba de que Microsoft se lo está tomando en serio, pero también revela que se está perdiendo la batalla contra la complejidad. Cuando tienes que parchear cientos de agujeros cada mes, el sistema ya no es intrínsecamente seguro por diseño, sino que se está parcheando constantemente sobre la marcha.

Además, es realista pensar que al corregir tantos fallos a la vez, se produzcan regresiones y los nuevos parches rompan alguna integración más antigua y no estándar de la que dependa un proceso crítico en la empresa.

Se pondrá a prueba la velocidad de los procesos corporativos

El factor decisivo no será la rapidez con la que Microsoft publique los parches, sino la rapidez con la que las empresas puedan desplegarlos en las infraestructuras críticas antes de que los grupos de ransomware integren los nuevos exploits en sus herramientas.

Si en las próximas semanas aparece una oleada de brechas de seguridad exitosas a través de estas vulnerabilidades recién parcheadas, será una prueba clara de que el tradicional ciclo del Patch Tuesday ya no es suficiente en términos de velocidad de defensa.

El veredicto de Lilith

Mil parches a la vez no es señal de un gran mantenimiento. Es la factura de treinta años de código acumulado que ahora los administradores tienen que pagar en un solo fin de semana para que la empresa pueda arrancar el lunes.