Hilo para comentar furiosamente las VULNERABILIDADES DE NUESTRAS CPUs

Cada parche de seguridad de tu CPU cuesta rendimiento, y no es el último​

Dos avisos de seguridad en dos meses y tres vulnerabilidades acumuladas en tres años sobre el mismo procesador. La cuenta no la lleva un laboratorio: la lleva cualquiera que tenga un Ryzen en casa. Cada alerta se cierra igual, con una BIOS nueva, un AGESA recién salido y una merma de rendimiento que ya no vuelve. La última tanda afecta a Zen 3 y Zen 4, y llega justo cuando AMD ha dejado claro que los Zen 2 de escritorio se quedan sin mitigación.

Qué vulnerabilidades arrastra un procesador Ryzen​

El goteo es continuo desde Spectre y Meltdown. A Retbleed, que obligó a Linux a copiar la protección que Windows aplicaba desde 2018, se sumó Inception, capaz de tocar toda la gama, de Zen 1 a Zen 4. Después llegaron TSA y Vmscape, que recortan rendimiento en Zen 3 y Zen 4, y un fallo más: un invitado en qemu/kvm puede dejar en evidencia al sistema anfitrión aprovechando la ejecución especulativa, con todos los Ryzen y los Coffee Lake de Intel en la lista. Según los primeros avisos, ese ataque sacaría las claves de cifrado de los discos duros del anfitrión en un par de minutos. La memoria DDR5 tampoco se libra de los ataques tipo Rowhammer.

La severidad depende de a quién se pregunte. Una de las revelaciones recibió una puntuación CVSS de 6,5 sobre 10, lo que la sitúa en gravedad media. Otra cosa es la explotación remota sin privilegios, que según los primeros análisis sería posible incluso a través de javascript. Ese extremo nadie lo ha confirmado con un ataque real, y conviene recordar que Spectre o Meltdown jamás se han explotado en remoto, que se sepa.

Cuánto rendimiento se pierde con cada parche​

Cada mitigación son instrucciones extra que el procesador ejecuta antes de especular. El resultado se mide. Una prueba de Jetstream2 arroja un 7% menos de puntuación respecto a una captura de un año antes, en un equipo donde además se activó la protección contra Meltdown y se desactivó el bypass de Speculative Store. AMD sostiene que en los casos más recientes la pérdida será mínima, aunque no pone cifra antes de publicar el firmware.

En un 5950X comprado hace tres veranos se han acumulado tres vulnerabilidades que capan el rendimiento —Inception, TSA y Vmscape— y dos de ellas exigieron además actualizar el microcódigo. Hay quien sostiene que la salida pasa por desactivar el hyperthreading, más por temperatura que por seguridad. Otros recuerdan que el fallo está en el propio diseño: la ejecución especulativa es la raíz de casi todo este catálogo, y renunciar a ella sería renunciar a media década de rendimiento.

Zen 2 se queda sin parches cinco años después​

El detalle que más incomoda no es la vulnerabilidad, sino la respuesta. AMD no piensa mitigar el último fallo grave en los Zen 2 de escritorio, procesadores que salieron al mercado hace justo cinco años. Quien tenga uno de esos chips puede actualizar lo que haya para generaciones posteriores, pero no hay firmware nuevo esperándole. Los EPYC sí han recibido microcódigo. La obsolescencia deja de ser una metáfora y se convierte en una nota de soporte.

En Linux el software cubre parte del hueco con el último kernel, pero el firmware de la CPU en escritorio no se puede tocar desde el sistema operativo: hace falta BIOS o AGESA, y si el fabricante de la placa no lo publica, no hay nada que hacer. La Steam Deck también se ha visto afectada por esta vía y verá su rendimiento mermado.

La vulnerabilidad que no se arregla con software​

Hay fallos que no se solventan con una actualización. Un rootkit que se carga antes que el sistema operativo y que sobrevive al formateo obliga a reprogramar el chip de la BIOS por hardware, o directamente a tirar la placa base. Los avisos sobre UEFI se acumulan y el Secure Boot, convenientemente activado, es la única barrera razonable contra ellos.

A esto se añade una vulnerabilidad descubierta en placas MSI, tanto de Intel como de AMD. La única salida pasa por un programador flash por hardware. La marca publicó una BIOS nueva tras más de un año sin actualizar modelos que parecían abandonados, señal de que el asunto es serio.

Qué cuesta seguir en AM4 y qué cuesta saltar a AM5​

La paradoja es que la plataforma vieja sigue teniendo sentido por precio. El 5900X ronda los 344 euros, el 5800X3D los 325 y el 5800X baja hasta los 212. Los 32 GB de DDR5 ya se encuentran por menos de 100 euros, y un Ryzen 3600 de segunda mano aparece por 60 o 70 euros. La DDR4 está tirada. Montar un equipo nuevo en AM4 solo compensa si se aprovechan placa y memoria, y aun así con matices: las placas siguen caras.

El desglose completo de precios por modelo y su comparación con el coste de cambiar de plataforma dibuja una escalera incómoda, con el 5800X como opción económica y el resto pagando el apellido X3D o la etiqueta de gama alta.

---

Con estos números, actualizar sale barato y parchear sale caro. Nadie ha publicado todavía cuánto rendimiento exacto se pierde con la última ronda, ni cuándo llegará el firmware que la mitiga placa a placa. Quien compró el procesador se queda mirando el listado de CVE, la BIOS sin actualizar y una pregunta sin respuesta: si el silicio era seguro el día que se compró, por qué deja de serlo cada pocos meses.