La cuenta atrás para Linux 7.4-rc1 deja una fotografía poco habitual: la ventana de fusión de esta versión ha reunido 19.671 cambios, una cifra que supera el máximo anterior de 16.267 registrado en Linux 7.3. El dato se tomó antes de que se publicara la primera candidata, así que el total todavía podía moverse un poco más. La ventana de fusión es la etapa en la que se integran las modificaciones destinadas al nuevo núcleo, y su volumen sirve para medir actividad, no para saber si el código es mejor o más complejo.

Ese repunte no se explica solo por el tamaño del proyecto. Parte del incremento se asocia a la IA y a los modelos de lenguaje, que están generando informes de fallos, parches y correcciones con más frecuencia. La relación no demuestra que cada cambio haya salido de una herramienta automática, pero sí apunta a una carga extra para quienes revisan y mantienen el código. Algunos mantenedores se sienten desbordados por la cantidad de material que llega. En el contexto europeo, donde muchas empresas y administraciones dependen de Linux para servidores y equipos de trabajo, el ritmo de revisión importa tanto como la cifra final.

Linux 7.4-rc1 y un máximo que rompe la tendencia

Los registros históricos permiten poner la marca en perspectiva. En comparaciones que arrancan en Linux 3.1, con 7.620 cambios, las ventanas de fusión solían moverse entre 13.000 y 14.000 cambios en épocas recientes. La secuencia de la serie 7.x muestra la escalada: 12.468 en Linux 7.0, 13.963 en 7.1, 14.395 en 7.2, 16.267 en 7.3 y 19.671 en 7.4. También hubo picos anteriores, como los 15.095 de Linux 4.9 o los 16.203 de Linux 6.7, y bajadas llamativas, como los 10.034 de Linux 6.14.

Linux 7.3 cerró su ciclo completo con 20.260 cambios, mientras que 7.4 se acercaba a esa cifra solo en la ventana de fusión. El material disponible no desglosa cuántos cambios proceden de cada causa ni cuántas propuestas se rechazaron después; tampoco mide el tiempo de revisión. Además, el árbol del código fuente ronda los 42 millones de líneas, una cifra distinta del número de cambios y que no sirve para calificar la calidad del software. ext4 estrena una vía iomap opcional

En paralelo, la primera candidata de Linux 7.4 también recoge novedades para ext4. El sistema de ficheros suma una ruta opcional de E/S con búfer basada en iomap para ficheros regulares. Se activa con la opción de montaje buffered_iomap, llega desactivada por defecto y vuelve a la ruta tradicional cuando no puede usarla. El paquete de cambios para Linux 7.4-rc1 incluye 31 parches de Zhang Yi y fue enviado por el mantenedor de ext4 el 22 de octubre.

Rendimiento desigual según el escenario

La subida más llamativa aparece en escrituras de 1 MiB sin caché: de 1.404 a 2.883 MiB/s. En cambio, las escrituras de 1 KiB con fsync después de cada operación bajan de 0,71 a 0,60 MiB/s. Por tanto, los datos describen comportamientos concretos y no una mejora uniforme de ext4. Para interpretar bien la tabla conviene fijarse en que la ruta iomap está pensada para ciertas cargas y puede quedar fuera de juego en otras.

Límites, compatibilidad y detalles a vigilar

La nueva vía no cubre todos los supuestos. Quedan fuera la desfragmentación en línea, los datos inline, fs-verity, fscrypt, los inodos sin extents y el modo data=journal. Cuando aparece alguno de esos casos, ext4 recurre a la ruta de E/S original. También conviene separar las opciones de montaje de los atributos de cada inodo: data=journal es una opción de montaje; el cifrado, verity, los datos inline y el uso de extents son atributos del inodo, consultables mediante FS_IOC_GETFLAGS. La desfragmentación en línea es una operación, no una propiedad persistente.

En el plano técnico, data=journal y data=ordered son modos diferentes. La ruta iomap no emplea data=ordered y la explicación del cambio menciona una salvedad sobre los datos al final del fichero si hay un corte de corriente. Es un detalle relevante para entornos donde la integridad tras un fallo pesa más que una cifra alta en una prueba sintética. En servidores europeos y equipos de empresa, ese tipo de matiz puede inclinar la balanza a la hora de activar opciones no predeterminadas.

El desembarco de Linux 7.4-rc1 deja dos frentes que conviene mirar con calma. Por un lado, la ventana de fusión ha marcado un máximo de 19.671 cambios, con una parte del aumento ligada a la actividad de IA y modelos de lenguaje, aunque el número no mide por sí solo la calidad del código. Por otro, ext4 gana una ruta iomap opcional que mejora mucho en algunos escenarios de escritura, se queda corta en otros y exige revisar compatibilidad y opciones de montaje. La cifra récord y el rendimiento variable son dos caras del mismo momento: más actividad y más piezas que revisar antes de dar el salto a la primera candidata.

El desarrollo de Ubuntu 27.04 Tenacious T-Rex ha comenzado de manera oficial. El archivo se abrió el 30 de octubre, con lo que se ha comenzado la sincronización automática con Debian. Si alguien no tiene muchas ganas de leer, este sería el resumen de la noticia, ya que no hay mucho más de lo que informar.

Cuando Canonical lanza una nueva versión de Ubuntu, se espera un par de semanas y da comienzo al desarrollo de la siguiente. Esas dos semanas desde 26.10 ya han pasado, y han empezado el desarrollo de la entrega que llegará finalmente en abril de 2027. El comienzo del desarrollo significa eso, que han empezado a poner los cimientos, pero nada más. Ahora mismo ni siquiera hay disponible una Daily Build para probar, para lo que habrá que esperar un tiempo más.

Ubuntu 27.04 llegará en abril de 2027

Cuando lleguen las primeras «Diarias», lo que podremos probar será básicamente Ubuntu 26.10, con la diferencia de que usará los repositorios de desarrollo y habrá actualizaciones constantes. No será hasta pasados unos meses que se empezarán a ver los cambios reales que veremos en al versión final, aunque algunos de ellos podrían ser revertidos, modificados o totalmente descartados.

Cabe recordar que Tenacious T-Rex, como el recién lanzado Stonking Stingray, será una versión provisional o interim, una de esas en las que se añaden cambios más arriesgados por no ser LTS. Aún así, hay casos en los que la lista de novedades no es muy extensa.

Ubuntu 27.04 Tenacious T-Rex está programado para abril de 2027. Entre sus novedades, ninguna confirmada, pero se espera que la versión principal llegue con GNOME 52 y un kernel que podría ser Linux 7.6. También se espera que se ofrezca por primera vez una versión inmutable basada en snaps y LXD (Ubuntu Core Desktoo), aunque esto es algo por confirmar. Saldremos de toda duda en el primer cuarto de 2027.

Siguiendo en su línea habitual, KDE se ha pasado la última semana mejorando el software existente. No sería justo quedarnos sólo con eso, ya que, si bien es cierto que siguen puliendo Plasma 6.8, también lo es que están añadiendo mejoras para el Plasma 6.9 que llegará ya entrado 2027. Pero ellos mismos lo reconocen en la nota de esta semana, que han añadido muchas mejoras de rendimiento y también corregido muchos bugs.

Hablando de fallos, quien quiera ver la lista que han facilitado tendrá que visitar la publicación original a la que enlazaremos al final de la nuestra. Nosotros no solemos recogerlos para no alargar de más este tipo de artículos.

Mejoras destacadas en la interfaz de usuario de KDE

Plasma 6.8.2

• El interruptor «Bloquear manualmente la suspensión y el bloqueo de pantalla» del widget Energía y batería ahora sincroniza su estado entre las distintas instancias del widget.

Plasma 6.8.3

• Cuando Plasma intenta cargar un paquete de shell de terceros que contiene código QML no válido, ya no entra en un bucle de bloqueos. En su lugar, la carga falla y se muestra un mensaje de error que indica cuál es el problema.
• Al utilizar el widget Lista de ventanas, los títulos de ventana demasiado largos ya no pueden desplazar fuera del panel a otros widgets que comparten el mismo espacio. Ahora se establece una longitud máxima y el texto se trunca con puntos suspensivos.
• Al utilizar la opción «Cambiar las categorías de la barra lateral al pasar el cursor sobre ellas» del lanzador de aplicaciones Kickoff, ya no se modifica innecesariamente la altura de los elementos de la lista de la barra lateral.
• El widget Vista de carpeta ya no permite configurarlo para utilizar el posicionamiento manual en situaciones en las que esta función no es compatible.
• Cuando se utiliza el widget Paginador con un tamaño grande, los iconos de las aplicaciones que muestra ahora aumentan de tamaño cuando es necesario para ajustarse mejor a los límites de sus ventanas.

Plasma 6.9

• Discover ahora permite compartir y copiar direcciones URL appstream:// de paquetes Flatpak instalados localmente, no solo de aquellos que se han instalado a través de la red.
• Al pulsar el botón «Pantalla completa» en un sitio web mostrado en el widget Navegador web, ahora el contenido se muestra a pantalla completa, tal y como se espera.
• El widget Temporizador ha recibido importantes mejoras visuales y funcionales para garantizar que su aspecto y funcionamiento sean adecuados en paneles de todos los tamaños. También hay más mejoras previstas para este widget.
• Las ventanas marcadas para quedar excluidas de la transmisión de pantalla ahora también se excluyen de las miniaturas que aparecen en las vistas previas emergentes del widget Gestor de tareas.
• El widget Perfiles de Konsole ahora también muestra el perfil predeterminado, y no solamente los perfiles personalizados creados por el usuario.

Mejoras destacadas en el rendimiento y los aspectos técnicos de KDE

Plasma 6.6.8

• Se ha corregido el fondo de pantalla Imagen astronómica del día, que había dejado de funcionar tras un cambio en los datos del lado de la NASA.

Plasma 6.8.2

• Se ha corregido una regresión que degradaba considerablemente el rendimiento de los juegos.

Plasma 6.9

• El filtro de ampliación de imágenes utilizado en el efecto Zoom de KWin ahora tiene un impacto en el rendimiento considerablemente menor.
• Plasma ahora limpia automáticamente las entradas obsoletas correspondientes a las posiciones de los archivos de escritorio y las carpetas en su archivo de configuración. Esto evita que el archivo alcance un tamaño enorme con el paso del tiempo y ralentice Plasma de diversas maneras.
• La función de búsqueda de marcadores del navegador de KRunner ahora funciona con las versiones modernas de Firefox y sus derivados, que almacenan sus datos de configuración en ~/.config. Esta corrección solo afecta a los paquetes que no son Flatpak; será necesario seguir trabajando para añadir compatibilidad con los paquetes Flatpak.

Frameworks 6.32

• Por fin se ha corregido un importante error relacionado con la integridad de los datos: los indicadores de progreso al mover o copiar archivos a un disco externo ahora son completamente precisos.
• Ahora mover o copiar archivos a través de recursos compartidos de red montados localmente es considerablemente más rápido.

Pronto en tu distribución KDE

Se espera que Plasma 6.8.3 llegue el 10 de noviembre, Frameworks 6.32 el 13 de noviembre y Plasma 6.9 el 23 de febrero de 2027. Los planes futuros pasan por lanzar sólo dos versiones de Plasma al año, para lo que saldría especialmente beneficiado Kubuntu. Pero para eso habrá que esperar, por lo menos, hasta el año que viene.

Vía: Blog de KDE.

GNOME publicó ayer una nueva nota de novedades de la semana. Lo publicado esta semana recoge lo sucedido del 23 al 30 de octubre. Y ya que estamos mirando al calendario, sorprende un poco que, justo tan cerca del lanzamiento de GNOME 51, se hayan hecho tantos avances en aplicaciones propias del proyecto. No viene mal recordar que hay al menos tres niveles en el software de GNOME: las apps propias, las de su círculo y las de colaboradores que desarrollan para el popular escritorio.

Lo que sigue es la lista con todas las novedades de esta semana, que no son pocas.

Esta semana en GNOME

• Proceso RFC de GNOME, numerosas correcciones en glycin, imágenes CMYK en Loupe y mucho más.
• Se han incorporado numerosas solicitudes de integración (MR) a Archivos desde el lanzamiento de la versión 51.1. Estos son algunos de los aspectos más destacados:
  • Han creado nuevos iconos de marcador de posición con un aspecto renovado.
  • Han eliminado las operaciones de entrada/salida bloqueantes, haciendo que Archivos responda con mayor rapidez.
  • También han añadido más pruebas para las operaciones con archivos y han corregido los problemas detectados por una auditoría automatizada.
  • Han adaptado los mensajes de error de las operaciones para que se ajusten a las directrices de la interfaz humana (HIG).
  • Han corregido un problema de seguridad relacionado con el vaciado de la papelera en dispositivos extraíbles.
  • Han configurado pruebas automatizadas en GNOME OS mediante GitLab CI.
  • Han evitado que los textos de contenido excesivamente largos en el diálogo de propiedades aparezcan truncados con puntos suspensivos.
  • Han mejorado la búsqueda de aplicaciones de «Abrir con» para que también coincida con los nombres de los ejecutables.

• Gracias al análisis de rendimiento con Sysprof y a la revisión del código, gnome-software ha recibido esta semana importantes mejoras de velocidad en la carga y descarga de iconos. Esto debería permitir que los iconos aparezcan mucho más rápido en los listados de aplicaciones, además de reducir el consumo de ancho de banda y espacio en disco.
• GNOME Calendar continúa evolucionando con varias mejoras en la interfaz de usuario y la accesibilidad durante la última semana. Se agradece a todas las personas que han enviado parches incorporados esta semana, así como a quienes los han revisado y han aportado sus comentarios:
  • Agrupación de los resultados de búsqueda: anteriormente, al realizar búsquedas en Calendar se mostraban todas las instancias de los eventos recurrentes coincidentes. La semana pasada se consiguió integrar un parche esperado desde hacía tiempo que mejora este comportamiento al agrupar todas las instancias de un mismo evento recurrente en una única fila. Esto hace que la búsqueda de eventos sea más clara y fácil de interpretar, ya que los resultados dejan de estar saturados de duplicados irrelevantes.
  • Enfoque inicial en la fecha seleccionada: como parte del largo trabajo para mejorar la accesibilidad de GNOME Calendar mediante el teclado, se ha incorporado un pequeño ajuste que mejora el comportamiento al acceder con la tecla Tabulador a la cuadrícula del selector de fechas de la barra lateral y del editor de eventos. En lugar de situar el foco en la primera celda de la cuadrícula, ahora se desplaza correctamente a la celda correspondiente a la fecha seleccionada. Esto coincide con el comportamiento esperado al acceder mediante el tabulador a otras cuadrículas o listas, donde el primer elemento que recibe el foco es el que está seleccionado actualmente.
  • Mejora de la información para lectores de pantalla: para mejorar la accesibilidad de Calendar, las celdas de la cuadrícula de la vista mensual y del selector de fechas anuncian ahora el mes y el día cuando reciben el foco. Anteriormente, estas celdas solo anunciaban el día del mes, lo que dificultaba enormemente que los usuarios pudieran identificar en qué mes se encontraban.
• Se ha incorporado a GLib la compatibilidad con las intenciones XDG, gracias al trabajo realizado sobre su implementación y la especificación. Este es el punto de partida para permitir que las aplicaciones se registren como compatibles con la apertura de comandos en un terminal o con la gestión de determinados esquemas URI. Sigue en marcha el trabajo para implementar estas intenciones específicas.
• Bazaar ha alcanzado el medio millón de descargas en Flathub. Para celebrarlo, han corregido el problema más votado: Flatpak de Bazaar ya puede instalar aplicaciones desde repositorios remotos del usuario.
• Ya está disponible GitY 2026.7. GitY ya no es simplemente un visor de repositorios Git, sino que ahora permite gestionar los repositorios directamente. Durante este año se han añadido numerosas funciones para convertirlo en una versión moderna de GitG. Los cambios más recientes incluyen:
  • Añadir etiquetas y ramas.
  • Eliminar etiquetas, ramas y reservas temporales (stashes).
  • Las diferencias de las confirmaciones (commits) muestran las imágenes que se añaden, modifican o eliminan. Técnicamente, esta función utiliza glycin.
  • Buscar ramas, etiquetas y reservas temporales mediante el atajo de teclado Ctrl+Mayús+F.
  • Ahora está disponible como opción la actualización en tiempo real de los repositorios, aunque viene desactivada de forma predeterminada.
  • Se puede desactivar el resumen de las líneas modificadas en cada diferencia.

• Rewaita se ha actualizado esta semana a la versión 1.1.8. Esta actualización se ha centrado principalmente en incorporar nuevas funciones y completar algunas de las carencias que todavía existían en la tematización:
  • Se ha añadido compatibilidad con los temas de GtkSourceView, el componente del editor utilizado por Gedit y Builder.
  • Por fin se ha añadido la recarga en caliente para GTK4.
  • Se han corregido los problemas de tematización de Firefox 157.0.
  • Se ha trasladado la guía de usuario a la wiki de GitHub.
  • Al margen de GNOME, Rewaita ahora también es compatible con el escritorio Cinnamon.

• Ratic ha recibido esta semana una nueva versión, la 0.4.5. No se trata de una gran actualización, pero mejora considerablemente el rendimiento: ahora la recarga de los datos que ya estaban almacenados en caché durante ejecuciones anteriores es instantánea. Además, el desplazamiento por la aplicación ya no provoca ralentizaciones y se puede limitar el tamaño de la caché de imágenes para controlar el consumo de memoria RAM.
• Ya está disponible RustConn 0.24, un gestor de conexiones para SSH, RDP, VNC, SPICE, Telnet, conexiones serie, Kubernetes, Web y Zero Trust, desarrollado con GTK4 y Libadwaita:
  • Conexiones SSH más rápidas, sin crear procesos en el hilo de la interfaz de usuario, y mejoras de rendimiento en Bitwarden.
  • «Configurar autenticación mediante clave…»: permite generar o reutilizar una clave SSH, instalarla, verificarla y cambiar a este método de autenticación.
  • Compatibilidad con scripts de terminal .rsc y portapapeles remoto mediante OSC 52.
  • Control de la dirección del portapapeles en RDP, configuración predefinida de proxy QUIC y opciones de importación y exportación de MobaXterm más completas.
  • Navegador integrado en el paquete Snap, ahora basado en Core 26.
  • Túneles limitados a conexiones locales y secretos de Bitwarden proporcionados mediante la entrada estándar (stdin).

• Se ha publicado Convey 51.0:
  • El asunto se muestra encima de la conversación.
  • Firmas individuales para cada dirección de correo electrónico, con imágenes.
  • Posibilidad de cambiar el tamaño de las imágenes arrastrándolas en el editor de mensajes.
  • Filtro de mensajes no leídos en la barra de búsqueda.
  • Posibilidad de darse de baja de listas de correo.
  • Acción para responder a una lista de correo.
  • Carpeta local de mensajes destacados para cuentas IMAP.
  • Carpetas en una barra lateral en dispositivos móviles.

• Solo ha transcurrido una semana desde la anterior actualización relacionada con la seguridad y varias dependencias externas han publicado nuevas correcciones de seguridad. Se han incluido todas ellas en Fractal 14.3 para garantizar que todo siga funcionando correctamente hasta el próximo lanzamiento.
• Ya está disponible GNOME Crosswords 0.3.19. Esta versión incluye un diseño del juego renovado, con animaciones fluidas y un nuevo panel inferior para las pistas en el modo móvil. En el editor, los acrósticos han salido de la fase beta, con un generador mucho más rápido y un flujo de trabajo más sencillo para construir cuadrículas. También se han incorporado texto enriquecido en los metadatos de los rompecabezas, sinónimos en las listas de palabras, plantillas de impresión en letra grande y numerosas correcciones de errores.
• RSS Feed ha alcanzado la versión 10, una edición conmemorativa de la extensión:
  • Artículos destacados: se mantienen en su propio grupo, incluso después de desaparecer del canal o de eliminarse el propio canal.
  • Acciones configurables para los artículos: se pueden configurar hasta tres botones que aparecen al pasar el cursor sobre cada artículo, así como acciones independientes para los botones izquierdo, central y derecho del ratón. Entre las acciones disponibles se encuentran abrir, marcar como leído o no leído, destacar, descartar, marcar los artículos anteriores como leídos y copiar el enlace.
  • Descartar y restaurar: permite ocultar los artículos que no se desean ver y recuperarlos todos desde el menú de la cabecera.
  • Historial de artículos: los artículos permanecen almacenados incluso después de desaparecer del canal, hasta alcanzar el límite establecido para cada canal.

Y esto ha sido todo esta semana en GNOME.

Vía: TWIG.

Supongo que si empiezo este artículo diciendo algo sobre «malas noticias», habrá mucha gente que esté de acuerdo conmigo. Y es que hace poco, Canonical publicó en su Discourse un hilo hablando de la reactivación de Ubuntu Core Desktop, una versión inmutable de Ubuntu. El problema es que confiará sólo en paquetes snap, o así será por defecto; siempre se podrá usar Workshops para instalar más software.

Pero la mala noticia no es que hayan reactivado y acelerado un proyecto como este. La mala noticia es que Canonical sigue haciendo de las suyas, y se plantea la posibilidad de que esta nueva versión, sin apt, ni nix ni flatpak ni nada por el estilo, termine convirtiéndose en la versión «normal» de Ubuntu. La buena noticia es que, aunque sea lo primero que ofrezcan, se espera que la «actual normal» siga existiendo.

Ubuntu Core Desktop como opción predeterminada

Usar Linux puede llegar a ser un problema. Una actualización puede romper algo, por lo que no se puede recomendar a cualquier usuario. Estos problemas se reducen en las distribuciones inmutables o atómicas, que no permiten tocar nada importante del sistema operativo y, además, las actualizaciones suelen ser imágenes completas del sistema.

Por ese motivo existen las distribuciones inmutables, y muchos desarrolladores eligen esta opción cuando quieren llegar al gran público. Que se lo digan a Valve con su SteamOS. Sistema que, por cierto, he llegado a plantearme para mi portátil si lo que uso en la actualidad termina dándome la lata. También hay versiones inmutables de Fedora, en parte con el objetivo de que sea más difícil de romper. Así lo dice también KDE en el desarrollo de su KDE Linux.

Canonical no lo dice así directamente, pero puede que esté pensando en lo mismo: para la mayor parte de usuarios, un sistema inmutable puede ser la mejor opción, y es lo que ofrecerían para descargar en su página web de manera más visible.

Casos de uso de esta versión

Canonical explica que, en un principio, hay tres motivos o casos de uso de Ubuntu Core Desktop:

Equipo con el navegador como centro

Muchas personas usan el PC y se quedan casi todo el tiempo en el navegador. Yo mismo me paso casi todo el tiempo en él, y mira que hago muchas cosas. Muchas aplicaciones están accesibles desde el navegador, y en lo personal sólo uso aplicaciones locales en contadas ocasiones. Por ejemplo, GIMP, pero podría usar Photopea. Incluso existe VSCode.

Estación de trabajo para desarrolladores

Como ellos mismos reconocen, esto sería lo más difícil, pues Ubuntu Core Desktop no tiene acceso a muchas de las herramientas en las que confiarían los desarrolladores. Pero existen LXD y Workshops, programas para usar software en contenedores que permiten extender posibilidades. Es básicamente su implementación de Distrobox, salvando as distancias.

Aunque sea uno de los tres puntos que mencionan, honestamente creo que no deberían añadirlo como reclamo porque sería complicar las cosas.

Una máquina de juegos

En el hilo se habla de que la Steam Deck y otros ordenadores de mano se han hecho muy populares en los últimos años. Se menciona el snap de Steam y otras cosas, y siguiendo con la sinceridad que me caracteriza, tampoco termino de tener claro que una versión inmutable como Ubuntu Core Desktop sea lo mejor para jugar.

Para juegos ya existe SteamOS, también disponible para equipos normales. Y si no, Bazzite, que además puede instalar todos los emuladores que queramos tirando de Flathub. Incluso el Ubuntu actual sería mejor para jugar, en mi opinión.

Ubuntu Core Desktop ofrecerá imágenes de desarrollo de 27.04

Hasta que el lanzamiento se haga oficial y se vayan respondiendo todas las cuestiones, Canonical ha confirmado que habrá Daily Builds de Ubuntu Core Desktop para 27.04. Así que lo mejor que puede hacer cualquier interesado es probar estas imágenes para saber si satisface sus necesidades.

En lo personal, no me emociona enormemente este anuncio, sobre todo por la ausencia de soporte para paquetes flatpak. Pero quién sabe, quizá estemos hablando de lo que termine convirtiéndose en el Linux del futuro.

Cuando Henry Ford desarrolló la producción en masa de automóviles adoptando la línea de montaje, la mayoría de los fabricantes decidieron seguir su ejemplo. Sin embargo, Rolls-Royce optó por un camino diferente: seguir construyendo sus coches de manera artesanal. Mal no les fue.

Mientras la tendencia parece ir hacia la incorporación de la Inteligencia Artificial a todo el software disponible, hay usuarios que prefieren seguir haciendo todo el trabajo intelectual. Para ellos, compilamos esta lista de los mejores programas sin Inteligencia Artificial.

Los mejores programas sin Inteligencia Artificial

Emacs

Una de las primeras herramientas desarrolladas por Richard Stallman para el proyecto GNU consiste en un editor de texto que, mediante la adición de extensiones, puede convertirse en un entorno de trabajo completo y programable.

Entre sus usos posibles están:

• Programación: Se puede usar para escribir código en los lenguajes de programación más populares.
• Edición de texto: Dispone de herramientas versátiles para el trabajo con archivos de texto.
• Documentación: Es útil para crear notas, documentación técnica y organizar la información.
• Terminal integrada para ejecutar comandos.
• Asistente personal: Permite la gestión de tareas, agendas, documentos y proyectos.
• Uso de scripts para automatizar tareas.
• Instalación de extensiones para incorporar nuevas funciones.

Las ventajas de Emacs son:

• No necesita un modelo de Inteligencia Artificial para autocompletar código.
• No necesita recurrir a un modelo para organizar documentos.
• No necesita un servicio en la nube para gestionar tareas.
• No necesita Inteligencia Artificial para la búsqueda, clasificación o procesamiento de texto.

Con Emacs y sus extensiones pueden reemplazarse las siguientes aplicaciones:

– Cursor: Un entorno de desarrollo integrado (IDE) avanzado, basado en el uso de Inteligencia Artificial.
– Notion y Obsidian: Aplicaciones para la toma de notas basadas en Inteligencia Artificial.

Se instala con:

sudo snap install emacs --classic

Zotero

Es un programa libre que sirve para gestionar bibliografía, recopilar documentación y organizar fuentes de información. Es muy útil para estudiantes, investigadores, escritores y periodistas.

Con Zotero podemos administrar las fuentes sin tener que redactar manualmente las referencias bibliográficas.

Entre sus funciones están:

• Recopilación de información: Puede guardar artículos científicos, páginas web, libros, documentos PDF e informes.
• Organización de bibliotecas: Permite clasificar las fuentes por temas, etiquetas, proyectos y colecciones.
• Administración de referencias: Puede almacenar autores, títulos, fechas, editoriales y otros metadatos.
• Inserción de citas: Puede agregar referencias bibliográficas de manera automática en documentos de LibreOffice.
• Creación de bibliografías: Permite generar listas de referencias siguiendo distintos estándares.
• Anotación de documentos: Puede leer, marcar y agregar comentarios y notas en archivos PDF.
• Zotero reemplaza (solo o junto a otros programas):
•  Gemini Notebook: Es una herramienta de investigación y asistencia basada en Inteligencia Artificial que funciona como un cuaderno digital inteligente donde el usuario carga sus documentos y fuentes de información.

Se instala desde el Centro de Software de Ubuntu.

OpenShot

Es un editor de video muy fácil de usar para crear contenidos para redes sociales o proyectos artísticos. Entre sus funciones están:

• Interfaz con una baja curva de aprendizaje
• Usa FFmpeg para trabajar con los formatos más comunes de audio, video e imágenes.
• Incluye más de 70 perfiles para adecuarse a los formatos más populares de la web, las redes sociales y los reproductores.
• Línea de tiempo avanzada (incluidas las funciones de arrastrar y soltar, desplazamiento, panorámica, zoom y ajuste automático).
• Funciones avanzadas de edición de clips (incluyendo recortes, canal alfa, cambio de escala, posición, rotación y sesgado).
• Previsualización en tiempo real.
• Personalización de la visualización.
• Animación basada en fotogramas clave.
• Permite la composición, superposición de imágenes, agregado de marcas de agua y transparencias.
• Permite el uso de múltiples pistas y capas.
• Se pueden aplicar transiciones de video, máscaras y efectos de barrido (incluyendo imágenes en escala de grises y máscaras animadas).
• Aplicación de efectos de video y audio (como brillo, gamma, matiz, croma y pantalla azul, entre otros).
• Trabajo con secuencias de imágenes y animación en dos dimensiones.
• Integración con Blender para crear títulos animados.
  Permite usar gráficos vectoriales para la creación de títulos en dos dimensiones.
• Edición y mezcla de archivos de audio.
• Soporte para emojis.
• Precisión de un fotograma.
• Mapeo de tiempo y cambio de velocidad de reproducción.
• Inserción de créditos y pies de página fijos y deslizantes.
• Soporte para aceleración por hardware.
• Importación y exportación de proyectos en los formatos de video más populares.

Reemplaza a:

• : Editor de video local (Windows y Mac) o en la nube con funciones de Inteligencia Artificial.
• Google Flow: Editor y generador de videos en la nube creado por Google.

Se puede instalar descargando el archivo AppImage desde la web del proyecto o desde Flathub con el comando:

`flatpak install flathub org.openshot.OpenShot`

PosteRazor

• Con este programa podemos crear un póster de gran tamaño, dividiendo la imagen en partes que pueden ser impresas por una impresora doméstica. Por ejemplo, usando hojas A4.

Supongamos que queremos construir una imagen nuestra en tamaño real. El procedimiento es el siguiente:

1. Cargamos la imagen en alguno de los formatos más populares.
2. Elegimos el tamaño del papel.
3. Establecemos las dimensiones del póster.
4. Establecemos el margen de superposición para unir las hojas.
5. Generamos un PDF con todas las piezas del póster.
6. Imprimimos el PDF.

PosteRazor reemplaza a:

• Canva: El servicio en la nube de edición de imágenes.

Se instala desde el Centro de Software de Ubuntu.

KOrganizer

KOrganizer es el organizador personal del proyecto KDE que puede administrar calendarios, citas, reuniones, tareas pendientes y recordatorios. Forma parte del ecosistema KDE PIM (Personal Information Management).

Tiene las siguientes funciones:

 Calendario: Puede organizar citas, reuniones y acontecimientos.
 Tareas: Puede crear listas de pendientes, establecer fechas límite y prioridades.
 Recordatorios: Permite recibir notificaciones de actividades próximas.
 Agenda compartida: Facilita coordinar reuniones e invitaciones con otras personas.
Diario personal: Se puede usar para registrar acontecimientos, experiencias y reflexiones.
 Varios calendarios: Se pueden utilizar calendarios remotos y locales.
 Sincronización: Puede trabajar con servicios en la nube como Google Calendar o Nextcloud mediante protocolos compatibles.

KOrganizer puede usarse para reemplazar a los siguientes organizadores basados en Inteligencia Artificial o que incorporan funciones de esta tecnología:

• Motion: Un servicio de organización de tareas, proyectos y reuniones que utiliza la IA para armar una agenda y reprogramar actividades cuando cambian las prioridades.
• Reclaim.ai: Organizador automático de reuniones, hábitos, descansos y períodos de concentración.

KOrganizer se instala desde el Centro de Software de Ubuntu.

En el artículo anterior comenzamos a enumerar las formas en las que podíamos hacer que un modelo de Inteligencia Artificial interactuara con un programa de software libre. En nuestro ejemplo usábamos uno de los modelos de OpenAI (los mismos a los que accedes cuando usas ChatGPT) para crear un círculo en formato SVG y luego abrirlo con Inkscape para poder editarlo.

Dado que el uso de la API de OpenAI tiene un costo y que abrir archivos externos en forma automática puede ser un riesgo de seguridad, haremos lo mismo mediante Ollama.

Más formas de combinar Inteligencia Artificial y software libre

Usando scripts y modelos locales

Ollama nos permite instalar y ejecutar diferentes modelos de Inteligencia Artificial en nuestro ordenador. Por supuesto, debemos tener en cuenta las limitaciones de nuestro hardware.

Podemos instalar Ollama con el comando:

curl -fsSL https://ollama.com/install.sh | sh

También necesito instalar el modelo encargado de crear el código del SVG. Yo elegí qwen3:14b, un modelo abierto de propósito general adecuado para mi ordenador de 16 GB sin tarjeta gráfica.

Este modelo se instala con:

ollama pull qwen3:14b

Seguimos los pasos para crear un entorno virtual y creamos nuestro script.

Primero instalamos la biblioteca necesaria con:

pip3 install -U ollama

Líneas 1 a 7

Importa las bibliotecas y los módulos necesarios.

Líneas 14 a 22

Determina cuál es el modelo y la carpeta donde se guardará el archivo.

Línea 30

Asigna a una variable las funciones para guardar un archivo.

Líneas 32 a 37

Contiene las instrucciones para crear el círculo.

Líneas 42 a 45

Comprueba que se creó correctamente el archivo SVG.

Líneas 46 a 63

Intenta abrir el archivo con Inkscape e indica si no pudo hacerlo.

Líneas 66 a 74

Indica al modelo cómo debe comportarse.

Línea 76

Comprueba si ya se guardó el archivo.

Líneas 79 a 120

Evita que el script siga funcionando en bucle estableciendo un límite de intentos fallidos. Se asegura de que el SVG haya sido generado y de que se haya guardado el archivo.

Líneas 122 a 128

Si todo fue correcto, abre el archivo en Inkscape y, si no, muestra un mensaje de error.

Agentes y MCP

¿Qué es un agente de Inteligencia Artificial?

Un agente de IA (o AI Agent) es un sistema informático al que impulsa un Modelo de Lenguaje Grande (LLM). Los agentes tienen la capacidad de percibir su entorno, razonar, planificar y ejecutar acciones de forma autónoma para alcanzar el objetivo especificado por el usuario.

La diferencia fundamental entre usar un agente y el método tradicional de interactuar con una IA es que el chatbot nos dice qué es lo que tenemos que hacer, mientras que el agente lo hace.

Un agente tiene cuatro componentes clave:

• El cerebro (LLM): es el modelo de lenguaje que proporcionará la capacidad de razonar, comprender el contexto y tomar decisiones.
• La memoria: permite que el agente recuerde instrucciones previas, las tareas realizadas y el contexto a corto y largo plazo.
• Las herramientas (Tools): son las que permiten que el agente realice el trabajo.
• La planificación: es la capacidad de descomponer el trabajo indicado en una serie de pasos.

Por ejemplo, podríamos pedirle al agente:

Abre Inkscape y crea una infografía en tamaño 1920 x 1080 sobre las ventajas de Linux. Debe incluir un título, seis bloques con sus principales características, iconos representativos y una paleta de colores utilizando la paleta de colores de Ubuntu. Utiliza textos editables y guarda el resultado como infografia_linux.svg.

El agente podría determinar que necesitas seguir estos pasos:

1. Entender las instrucciones: el modelo identifica los elementos que debe incluir en la infografía y organiza el contenido.
2. Abrir la aplicación: el agente determina si usará Inkscape abriendo el programa con su interfaz gráfica o usando la línea de comandos.
3. Crear los elementos: crea la infografía combinando textos y diferentes gráficos vectoriales.
4. Editar el diseño: a pedido del usuario, puede modificar colores, tamaños, posiciones, tipografías y distribución de los objetos.
5. Guardar el documento: para su posterior edición y modificación.

¿Qué es el MCP (Model Context Protocol)?

El Model Context Protocol (MCP) es un protocolo abierto y universal que estandariza la forma en que las aplicaciones de Inteligencia Artificial se conectan con fuentes de datos externas y herramientas. Una vez creado un servidor MCP para una herramienta específica, cualquier agente compatible con el protocolo podrá comunicarse e interactuar con ella. Por ejemplo, los MCP disponibles para Inkscape permiten a los agentes:

• Crear documentos.
• Dibujar diferentes tipos de elementos.
• Crear y modificar textos.
• Cambiar estilos y colores.
• Cambiar la distribución de objetos.
• Consultar las propiedades de los elementos.
• Exportar a diferentes formatos.

¿Cómo se relacionan los agentes y los servidores MCP?

El proceso de interacción es el siguiente:

1. El usuario le asigna la tarea al agente.
2. El agente recibe la instrucción y determina la herramienta que va a utilizar.
3. El servidor MCP recibe la instrucción y ejecuta la operación solicitada.
4. El programa ejecuta la tarea.

Usando nuestro ejemplo del círculo, sería algo así:

1. Le pedimos al agente que cree un círculo rojo de 400 píxeles de diámetro.
2. El agente busca la herramienta capaz de dibujar el círculo.
3. El servidor MCP le informa que dispone de una herramienta capaz de hacerlo y qué parámetros necesita.
4. El agente envía al servidor la solicitud con los parámetros necesarios.
5. El servidor usa Inkscape para generar el gráfico.
6. Hermes informa al agente que la tarea fue realizada.
7. El agente le comunica al usuario que la tarea fue realizada.

El mes próximo veremos cómo usar agentes y MCP junto con Inkscape.

Continuando con la serie de artículos que venimos escribiendo sobre cómo combinar software libre y grandes modelos de IA, abordaremos la interacción más directa entre ellos. En los artículos anteriores habíamos creado un archivo de imagen con el modelo y lo habíamos editado con el programa. Usamos Inkscape, el editor de imágenes vectoriales.

Nuestro objetivo es evitar la uniformidad de los resultados artísticos de los modelos y usarlos para suplir la falta de habilidad de quienes tenemos dos manos izquierdas (o derechas, si somos zurdos).

Cómo combinar software libre y grandes modelos de IA

En los artículos anteriores habíamos utilizado un enfoque más tradicional, que consiste en interactuar con un «chatbot», pedirle que genere un archivo de imagen y trabajar con él de manera local en nuestro programa. Sin embargo, hay formas de hacer que interactúen con menos intervención por nuestra parte. Esto puede hacerse mediante:

1. Scripts en Python.
2. Uso de agentes.
3. Uso del protocolo MCP.

Script en Python

Se llama script a un archivo de texto plano que contiene una serie de instrucciones escritas usando el lenguaje de programación Python. Este archivo se guarda con la extensión nombre_de_archivo.py.

Se llama script y no programa porque no hay un paso de compilación previo, ya que el código se lee, se traduce y se ejecuta línea por línea en tiempo real. El script contiene las instrucciones que ejecuta el intérprete.

Para ejecutar un script en Python tenemos que tener el intérprete instalado en nuestro ordenador y, en Ubuntu, por razones de seguridad, también es necesario crear un entorno virtual.

Los pasos son los siguientes:

Actualizamos el sistema:

sudo apt update

Instalamos los programas necesarios para crear el entorno virtual:


sudo apt install python3 python3-pip python3-venv

Creamos el directorio en donde funcionará el entorno virtual:

mkdir -p ~/aplicaciones

Entramos en el directorio:

cd ~/aplicaciones

Creamos el entorno virtual:

python3 -m venv aplicaciones

Activamos el entorno:

source aplicaciones/bin/activate

Actualizamos el gestor de paquetes pip:

python3 -m pip install --upgrade pip

Una vez creado el script, lo ejecutamos con:


python3 nombre_del_script.py

Si el script requiere la instalación de módulos adicionales, lo hacemos con el comando:

pip install nombre_modulo

Probablemente, el único que necesites instalar sea el de OpenAI:


pip install openai

Este programa crea un script en Python que, usando la API de OpenAI, utiliza un modelo de ChatGPT para crear un círculo en formato SVG. Cuando está hecho, lo descarga y lo abre con Inkscape.

Un par de aclaraciones:

• La API de OpenAI es de pago. El pago mínimo es de 5 dólares, aunque, dependiendo del uso, rinde bastante. Por ejemplo, la traducción de un libro de texto no cuesta más que 20 centavos.
• Para realizar el pago y obtener la API Key necesaria que permita autenticar el acceso al script, debes ir a esta página.

Antes de ejecutar el script, debes configurar la API Key con el comando:


export OPENAI_API_KEY="tu_clave_api"

La explicación del programa es la siguiente:

Líneas 2 a 10

Importa las bibliotecas necesarias para ejecutar el programa. Es posible que necesites instalar algunas con el comando pip.

• os: Le permite al script acceder a variables de entorno del sistema operativo.
• re: Se usa para trabajar con expresiones regulares y modificar textos.
• shutil: Se usa para buscar programas instalados en el sistema.
• subprocess: La usaremos para ejecutar Inkscape.
• sys: Se utiliza para controlar la ejecución del script y salir ante errores.
• xml.etree.ElementTree: La usamos para interpretar y validar documentos XML. Recordemos que el formato .svg utiliza XML para construir las imágenes.
• pathlib: La necesitamos para trabajar con rutas y archivos.
• openai: La necesitamos para comunicarnos con la API de OpenAI y es útil para trabajar con otros modelos de inteligencia artificial.

Líneas 13 y 14

La línea 13 establece que, a menos que se indique lo contrario, se usará el modelo gpt-6-astra.

La línea 14 determina la carpeta en la que se guardará el archivo resultante.

Líneas 17 a 19

Comprueba si la API Key está cargada o muestra un mensaje en caso de que no lo esté.

Líneas 22 a 25

Aquí se produce la conexión con el modelo y la autenticación usando la API Key.

Línea 27

Inicia un bloque de control de errores.

Líneas 28 a 45

Aquí se le indica al servidor el modelo que tiene que utilizar, las instrucciones que debe seguir y cómo debe interpretarlas. Luego se recupera el código (las imágenes .svg se construyen usando código XML), asegurándose de eliminar los saltos de línea al principio y al final.

Líneas 46 y 47

Esto se usa como un reaseguro para evitar que el modelo devuelva código en otro formato que no sea XML.

Líneas 43 a 63

Busca que exista un archivo SVG, comprueba si está completo y elimina el texto innecesario. También valida el código XML.

Líneas 65 a 67

Guardan el archivo en la ruta que establecimos previamente y nos informan cuál es.

Líneas 76 a 78

Busca el acceso a Inkscape y, cuando lo encuentra, abre el archivo con este programa. Si no lo encuentra, da un mensaje de error y, si lo encuentra, avisa que abrió el programa.

Las líneas finales se usan para determinar el tipo de error y mostrarlo en pantalla.

Algunos aspectos a tener en cuenta:

• Es posible cambiar el modelo por cualquiera de los otros disponibles, según la documentación de OpenAI. Los modelos disponibles y sus identificadores se pueden consultar aquí.
• Es posible modificar tanto las instrucciones como el rol para crear diseños más complejos.
• Lo de abrir un archivo externo sin revisarlo previamente podría ser potencialmente peligroso. Lo damos como un ejemplo de lo que puede hacerse.

Para desactivar el entorno virtual, cerramos la terminal o escribimos:

deactivate

De todas formas, en nuestro próximo artículo veremos cómo generar un SVG utilizando un modelo local. Para instalar modelos locales utilizaremos Ollama.

Ollama AI es una herramienta para utilizar modelos de inteligencia artificial instalados en nuestro ordenador desde la terminal o la interfaz gráfica, siempre que nuestro hardware sea lo suficientemente potente para hacerlo. De todas formas, como dijimos, dado que los archivos SVG están construidos usando código XML, no se necesitan modelos tan potentes como los que se necesitan para generar imágenes. Te recomiendo los artículos que publiqué sobre Ollama en este mismo blog.

Continuando con nuestra serie de artículos sobre el problema de seguridad más grave conocido en lo que queda del año, llegó el momento de explicar qué es PHP2Shell y cómo solucionarlo en Ubuntu.

Como explicamos anteriormente, PHP es un lenguaje de programación de código abierto pensado para usarse del lado del servidor. Según las estadísticas disponibles públicamente, lo utilizan alrededor del setenta y cinco por ciento de los sitios web (incluido este blog).

Qué es PHP2Shell y cómo afectó a los sitios web

Para entender qué hace PHP2Shell, primero tenemos que entender el concepto de motor PHP.

El motor PHP (que recibe técnicamente el nombre de Zend Engine en sus últimas versiones) es el programa intérprete encargado de leer, traducir y ejecutar el código PHP en un servidor web. Su trabajo es convertir las instrucciones escritas en PHP en resultados útiles (formatos HTML, JSON, datos, etc.).

El proceso de trabajo es el siguiente:

Paso 1: Análisis léxico

El procesador lee el código carácter por carácter y lo clasifica en palabras clave, variables, operadores, números y otros componentes importantes.

Paso 2: Parsing

En esta etapa, el motor analiza el resultado del paso anterior para comprobar que tenga sentido según las reglas del lenguaje.

Paso 3: Compilación a opcodes

En este paso, el motor convierte el código PHP en opcodes (códigos de operación), que son instrucciones de bajo nivel que facilitan a la máquina virtual de PHP la ejecución del código más rápidamente.

Paso 4: Ejecución

Aquí, la máquina virtual de PHP ejecuta los opcodes uno por uno, mientras interactúa con el sistema de archivos, la memoria RAM y las bases de datos para lograr el resultado final. Desde la versión PHP 5.5, el motor incluye OPcache, una extensión que guarda en la memoria RAM los opcodes ya compilados. Esto hace posible que, en las siguientes peticiones, el motor se salte los pasos 1, 2 y 3 y pase directamente al 4.

PHP2Shell

El nombre PHP2Shell se le asignó a una familia de vulnerabilidades críticas de seguridad de memoria que se determinó que afectaban directamente al núcleo, al motor y al intérprete del lenguaje PHP.

Estas dos vulnerabilidades están integrada por:

• CVE-2026-109618: Descripta como corrupción de memoria por agotamiento de memoria (out-of-memory). Sucede cuando una petición agota el límite configurado (memory_limit) durante el tiempo asignado para la inicialización de los datos de entrada; esto hace que las rutinas de limpieza traten estructuras incompletas como válidas, permitiendo la ejecución de código malicioso.
• CVE-2026-109619: Descripta como reutilización de estado global obsoleto o liberado (use-after-free)[5]. Sucede cuando un proceso de trabajo (worker) guarda punteros a memoria liberada de una petición anterior y una petición posterior en el mismo worker vuelve a utilizarlos.

Mediante estas vulnerabilidades, los atacantes pueden:

• Lograr la ejecución remota de código con los privilegios del proceso del servidor web, aunque el atacante no esté autenticado.
• Permitir la filtración de información sensible de la memoria del proceso, con la consiguiente exposición de contraseñas, claves API, tokens de autenticación y certificados utilizados por otros procesos.
• Obtener acceso, por más seguro que sea el código de la aplicación. Esto lo logran al actuar sobre el motor de PHP y no sobre las aplicaciones (como WordPress, Drupal o Joomla).
• Afectar a gran parte de las versiones de PHP, desde la versión 5.4 hasta las ramas 8.x que no fueron actualizadas.

¿Cómo y para qué usan esta vulnerabilidad los atacantes?

La explotación depende de cuál de las dos vulnerabilidades se aproveche:

CVE-2026-109618 (corrupción por agotamiento de memoria / OOM)

1. Inducción del límite de memoria: el delincuente informático envía una petición HTTP pensada para gastar rápidamente la memoria del proceso de trabajo (*worker*) hasta llegar al límite fijado por la directiva memory_limit. Esto puede hacerlo enviando múltiples archivos o campos de formulario complejos.
2. Interrupción abrupta con longjmp(): cuando se detecta la falta de memoria, PHP interrumpe inmediatamente el flujo normal y va directamente a la rutina de cierre de la petición (request shutdown).
3. Corrupción de estructuras y ejecución: cuando se hace este salto, se omiten la inicialización y la limpieza ordenada de variables, lo que hace que permanezcan estructuras internas en un estado incompleto e inválido. El atacante logra manipular previamente la memoria (heap spraying), enviando parámetros de formulario en forma masiva con estructuras de C. Durante la fase de apagado, PHP lee la memoria inconsistente y, cuando evalúa punteros a funciones o destructores corruptos, la ejecución utiliza las instrucciones del atacante, lo que permite la ejecución remota de código.

CVE-2026-109619 (uso de memoria liberada / use-after-free)

1. Generación del puntero descolgado (Producer): en este caso, el delincuente produce un error fatal o de memoria al principio del arranque de la petición, en las características activas por defecto (por ejemplo, en el seguimiento del progreso de carga de archivos session.upload_progress o en las trazas de errores fatales). Cuando termina la petición de manera anormal, PHP libera la memoria de la solicitud, pero mantiene punteros globales que apuntan a esa dirección ya liberada.
2. Reutilización en peticiones posteriores (Consumer): como un mismo proceso de trabajo (worker) atiende varias peticiones HTTP consecutivas, una segunda petición enviada al mismo worker interactúa con ese estado global no reinicializado antes de que PHP limpie el puntero.
3. PHP copia fragmentos de la memoria interna del proceso a través del puntero liberado dentro de la cookie de sesión PHPSESSID en la respuesta HTTP. Con esto, el delincuente informático logra extraer contraseñas, tokens de autenticación, claves API y certificados correspondientes a otras peticiones del servidor.
4. Ejecución remota de código (RCE): el atacante sobrescribe el bloque de memoria liberado insertando estructuras de funciones falsas (incluidas llamadas a comandos del sistema, como system()). Cuando la siguiente petición ejecuta la rutina de actualización, el motor sigue el puntero manipulado y ejecuta la orden.
5. Confusión de tipos en OPcache: en las versiones más actuales que utilizan la caché de código compilado (OPcache), los errores de asignación pueden permitir que distintos workers compartan metadatos obsoletos, lo que produce una confusión de tipos que logra corromper la memoria compartida.

El resultado de todas estas acciones es el siguiente:

Una vez explotada la vulnerabilidad, el atacante, con los privilegios del proceso del servidor web, puede:

• Ejecutar comandos de la consola para identificar al usuario y el entorno.
• Escribir scripts maliciosos en carpetas públicas o de subida para permitir el acceso posterior como puerta trasera.
• Conectarse al servidor de forma remota.
• Leer archivos de configuración y bases de datos, e intentar acceder a otros sistemas de la red.

Versiones de Ubuntu afectadas y cómo solucionarlo

• Ubuntu 14.04 y 16.04: requieren Ubuntu Pro y el complemento Legacy Support.
• Ubuntu 18.04 y 20.04: requieren Ubuntu Pro con ESM.
• Ubuntu 22.04 y posteriores: reciben la corrección mediante las actualizaciones estándar.

Para instalar los paquetes con las correcciones:

Actualizamos la lista de paquetes de los repositorios:

sudo apt update

Actualizamos los paquetes:

sudo apt upgrade

Comprobamos la versión instalada:

apt list '?installed ?name(^php[0-9.]+$)'

Reiniciamos los servicios que utilizan PHP:

sudo systemctl restart nombre_del_servicio

Si utilizamos PHP-FPM:

sudo systemctl restart phpX.X-fpm

Donde X.X debe sustituirse por el número de versión correspondiente.

Recuerda que todos estos pasos solo son necesarios si tienes aplicaciones que se ejecuten bajo PHP.

Continuando con nuestra serie de artículos sobre el grave problema de seguridad informática ocurrido en la penúltima semana de octubre de 2026, explicaremos cómo se clasifican los problemas de seguridad informática para luego advertir sobre ellos y facilitar el acceso a las soluciones. De lo que se trata es de separar la realidad de la falsa información proporcionada por el sensacionalismo y el odio al lenguaje de programación.

PHP2Shell fue una vulnerabilidad grave y explotada antes de que se hiciera pública su existencia y es una más en la serie de vulnerabilidades que se irán descubriendo en los próximos meses gracias al uso de la inteligencia artificial. Esto obligará a los responsables de servicios web a estar atentos a su aparición y a la de las soluciones.

Pero antes de seguir con el artículo, quiero destacar algunas aclaraciones sobre cosas que dije en el artículo anterior.

• Conexión a bases de datos: Cuando dije que a las bases de datos solo se puede acceder desde el servidor, hablaba de buenas prácticas, no de imposibilidades técnicas. Permitir el acceso solo desde el servidor garantiza que las credenciales solo las tengan quienes estén autorizados a realizar las operaciones de lectura, escritura, eliminación y actualización de datos. De esta forma se protege la información sensible.
• Distinción entre contenido PHP y no PHP: No necesariamente el contenido PHP debe estar separado del contenido HTML, siempre que esté entre etiquetas identificadoras. El contenido que no es PHP no se interpreta como código durante el procesamiento, pero se utiliza para dar formato a la salida.
• Generación de CSS: Aunque puede generar contenido en formatos CSS, JSON o HTML, la práctica habitual es que el contenido CSS esté en una hoja externa que se invoca desde una página con extensión .html o .php.
• Usos de PHP: Si bien, en su forma tradicional, PHP no puede usarse para comunicaciones en tiempo real, existen extensiones, aplicaciones y bibliotecas que le dan esa funcionalidad.
• Necesidad de un servidor: PHP no necesita un servidor web; se puede usar desde la línea de comandos o incluso mediante interfaces gráficas. Pero no está pensado para ese uso, por lo que, en general, los desarrolladores prefieren otras alternativas.
• Versiones y vulnerabilidades: Al ser un lenguaje de programación de más de 30 años, PHP tiene varias versiones y subversiones. No todas las vulnerabilidades que aparecen ni todos los parches que se publican afectan por igual. Lo ideal es actualizar cada vez que se publique una nueva versión estable.

Cómo se clasifican los problemas de seguridad informática

Para entender qué es PHP2Shell, debemos entender primero cómo funciona el sistema de detección y corrección de errores en informática.

El identificador CVE

Las letras CVE corresponden al acrónimo de Vulnerabilidades y Exposiciones Comunes (Common Vulnerabilities and Exposures) y se refieren a un sistema internacional estandarizado que contiene las vulnerabilidades de seguridad que se descubrieron y se hicieron públicas. Cada identificador adquiere esta forma:

• CVE: Como dijimos, indica que se trata de una vulnerabilidad común.
• AÑO: Indica el año en que se le asignó el ID o se hizo público el error.
• NÚMERO: Es el identificador secuencial único (debe tener un mínimo de cuatro dígitos.

El objetivo es que todas las personas involucradas en su detección, mitigación o solución sepan que se están refiriendo al mismo problema.

Las etapas entre el descubrimiento y la asignación del CVE son:

Etapa 1: Descubrimiento

Los errores en el software son detectados generalmente por investigadores, integrantes de la comunidad de desarrolladores, herramientas automatizadas, aficionados participantes de programas de caza de bugs y, en los últimos tiempos, por modelos de inteligencia artificial.

Etapa 2: Reporte confidencial

Si una persona detecta un bug y lo hace público antes de que los desarrolladores tengan tiempo de encontrar una solución, es una invitación abierta a los delincuentes informáticos para aprovecharlo. Lo ideal es que lo comunique en forma privada a los desarrolladores o a una entidad asignadora de CVE, dándoles un plazo prudencial para el desarrollo del parche.

Etapa 3: Validación y asignación del CVE

Una vez que se comprueba que el bug es reproducible y constituye un problema de seguridad, se le asigna un CVE. Esto puede hacerse de dos formas:

• En caso de que el desarrollador sea un CNA autorizado (como Microsoft, Google, GitHub o Red Hat), este se ocupa de generar y asignar el número CVE.
• En caso de que el desarrollador no lo sea, la solicitud se envía a la organización sin fines de lucro MITRE Corporation. Esta entidad, financiada por el gobierno de Estados Unidos, es la encargada de administrar el sistema CVE.

Etapa 4: Publicación

Ya sea que el parche esté listo o no, si se vence el plazo de confidencialidad, la corporación MITRE publica en su sitio web una entrada que contiene:

• El identificador CVE.
• Una breve descripción del fallo.
• Enlaces al aviso del fabricante y al parche, si está disponible.

Etapa 5: Agregado de información

Otra vez interviene el gobierno norteamericano, pero esta vez directamente a través del Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés). El NIST maneja la Base de Datos Nacional de Vulnerabilidades (NVD). En esta base de datos se agrega la siguiente información:

• La puntuación CVSS (Common Vulnerability Scoring System): Es una nota del 0,0 al 10,0 que indica la gravedad del bug. Cuanto más alta, más grave.
• Clasificación CWE (Common Weakness Enumeration): Indica el tipo de fallo.
• Software afectado (usando el formato CPE, Common Platform Enumeration): Indica una lista exacta de las versiones vulnerables de los programas afectados.

¿Qué pasa fuera de Estados Unidos?

El artículo se concentró en el sistema norteamericano porque en la Unión Europea no existe una agencia centralizada para la clasificación de problemas informáticos y se apoya en la base de datos del NVD para su trabajo. Sin embargo, en los últimos tiempos está impulsando proyectos para reducir la dependencia de bases de datos extranjeras mediante el Centro Europeo de Competencia en Ciberseguridad (ECCC). Como parte de eso, 13 de mayo de 2025, la Agencia de la Unión Europea para la Ciberseguridad (ENISA) puso en marcha la EUVD (European Vulnerability Database), una base de datos europea de vulnerabilidades.

Además de la información de Mitre y NVD incluye:

• Información sobre desarrolladores de software y fabricantes de hardware.
• Detalle de los equipos de respuesta a incidentes.
• Información sobre vulnerabilidades explotadas.

Otras entidades de respuesta son:

• CERT-EU: Es un equipo de respuesta a incidentes informáticos que puedan afectar a las instituciones de la UE. Analiza las vulnerabilidades globales (CVE) y emite alertas específicas sobre cómo pueden afectar a las instituciones relacionadas.
• CSIRT nacionales: Cada país tiene el suyo (por ejemplo, CERT-ES en España). Actúan cuando se publica un CVE crítico (como PHP2Shell). Se ocupan de difundir la información en el idioma local y trabajar con las instituciones y empresas locales para solucionarlos.