Open WebUI, una de las interfaces frontales autoalojadas para LLM más desplegadas, publicó v0.11.2 el 31 de agosto a las 05:48:23 UTC. Las notas incluyen una declaración explícita de política: las advertencias de seguridad de la versión pueden retenerse durante un breve periodo para dar a los administradores tiempo de actualizar.
La política, dicho claramente
La divulgación diferida es una práctica real y legítima. Se da ventaja a los defensores; se publican los detalles una vez que el parche se ha propagado. Open WebUI merece reconocimiento por dejar la política por escrito en lugar de hacerlo en silencio, que es el comportamiento más habitual. Pero también conviene señalar el coste, porque no es simétrico en la forma en que sugiere la redacción.
A quién ayuda realmente el retraso
La ventana no oculta la corrección. Es un proyecto de código abierto: los commits son públicos en el momento en que se publica la versión. Cualquiera con motivación puede comparar dos etiquetas y localizar la ruta de código parcheada en minutos —esa es la vía estándar del parche al exploit funcional—, y eso no cambia porque se haya presentado o no una advertencia. Lo que retrasa la publicación es la gravedad y la clase del problema, y se lo retrasa al administrador que debe decidir si la actualización entra esta noche o al final del sprint. El atacante lee el diff. El defensor lee «cuando le sea posible».
El patrón anterior
La versión anterior, v0.11.1, se publicó el 25 de agosto a las 21:17:57 UTC. Sus advertencias de seguridad se publicaron aproximadamente cinco días después, el 30 de agosto. Así que la brecha no es hipotética, y v0.11.2 se encuentra ahora en el mismo estado en el que estuvo su predecesora: con contenido de seguridad no divulgado mientras se pide a los operadores que confíen en la instrucción más que en el detalle.
Qué falla en el enfoque habitual
Los resúmenes de cambios clasifican estas versiones como mantenimiento, porque es lo que parecen: una lista de correcciones de errores con el mismo registro que los ajustes de la interfaz. Un lector que busque «seguridad» no encuentra nada que priorizar. La información sobre la gravedad existe, el proyecto la tiene, y el intervalo en que se retiene es precisamente el intervalo en que se toma la decisión de actualizar.
La lectura práctica
En una implementación autoalojada expuesta a más de un usuario, trate por defecto cualquier versión de Open WebUI que incluya esta nota como relevante para la seguridad y prográmela en consecuencia. La ausencia de una advertencia publicada no es prueba de que no haya nada que parchear: las notas lo dicen explícitamente.