Explotación de ca-certificates en servidores Linux y PHP (SSA:2026-293-02 / ca-certificates-20261020): cómo funcionan los ataques con CAs raíz revocadas y cómo blindar OpenSSL, cURL, Mercado Pago y ARCA/AFIP

# 1. Regenerar el bundle maestro del sistema (/etc/ssl/certs/ca-certificates.crt)
/usr/sbin/update-ca-certificates --fresh

# 2. Unificar el bundle de libcurl (/usr/share/curl/ca-bundle.crt)
ln -sf /etc/ssl/certs/ca-certificates.crt /usr/share/curl/ca-bundle.crt

# 3. Unificar OpenSSL 1.1 / 3.x compilado a medida (/opt/openssl11/ssl/cert.pem)
ln -sf /etc/ssl/certs/ca-certificates.crt /opt/openssl11/ssl/cert.pem

# 4. Verificar que PHP 8.4.27 / 8.2.35 apunten al bundle actualizado en php.ini:
# curl.cainfo = "/etc/ssl/certs/ca-certificates.crt"
# openssl.cafile = "/etc/ssl/certs/ca-certificates.crt"
/usr/local/php-8.4/bin/php -r 'print_r(openssl_get_cert_locations());'

# 5. Sincronizar el almacén de Python (certifi) usado por scripts y bots de IA:
python3 -c "import certifi; print(certifi.where())"

<?php
// 1. Llamada cURL a Mercado Pago con validación SSL estricta (ca-certificates-20261020)
function crearPreferenciaMpBlindada(array $orden, string $token): array {
    // Clave determinística para que Mercado Pago nunca cobre dos veces ante un reintento HTTP
    $idempotencyKey = hash('sha256', 'MP_ORDEN_' . $orden['id'] . '_' . $orden['total']);

    $payload = [
        'items' => [[
            'id'          => (string) $orden['codigo'],
            'title'       => $orden['concepto'],
            'quantity'    => 1,
            'currency_id' => 'ARS',
            'unit_price'  => (float) $orden['total'],
        ]],
        'external_reference' => (string) $orden['id'],
        // Redirigir a una pantalla exclusiva de pago aprobado (sin mostrar CBU de transferencia)
        'back_urls' => [
            'success' => 'https://tudominio.com.ar/shop/order_complete_mp.php',
            'pending' => 'https://tudominio.com.ar/shop/order_complete_mp.php',
            'failure' => 'https://tudominio.com.ar/shop/checkout.php?error=mp',
        ],
        'auto_return' => 'approved',
    ];

    $ch = curl_init('https://api.mercadopago.com/checkout/preferences');
    curl_setopt_array($ch, [
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_POST           => true,
        CURLOPT_POSTFIELDS     => json_encode($payload, JSON_UNESCAPED_UNICODE),
        CURLOPT_HTTPHEADER     => [
            'Content-Type: application/json',
            'Authorization: Bearer ' . $token,
            'X-Idempotency-Key: ' . $idempotencyKey,
        ],
        CURLOPT_SSL_VERIFYPEER => true,
        CURLOPT_SSL_VERIFYHOST => 2,
        CURLOPT_TIMEOUT        => 10,
    ]);

    $res  = curl_exec($ch);
    $code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    $err  = curl_error($ch);
    curl_close($ch);

    if ($res === false || $code >= 400) {
        throw new RuntimeException("Error TLS/API Mercado Pago ($code): $err");
    }
    return json_decode($res, true);
}

// 2. Guardián de idempotencia en order_complete.php para que recargar con F5 no duplique el pedido:
$orderId = $_SESSION['order_id'] ?? '';
if ($orderId !== '' && empty($_SESSION['orders_processed'][$orderId]) && !empty($_SESSION['cart'])) {
    $_SESSION['orders_processed'][$orderId] = true;
    registrarPedidoEnMySQL($orderId, $_SESSION['cart']);
    enviarEmailConfirmacion($orderId);
    $_SESSION['cart'] = []; // Vaciamos el carrito conservando los datos del recibo en pantalla
}