Investigadores de seguridad revelaron en la conferencia Black Hat USA 2026 que las optimizaciones legítimas de los compiladores pueden eliminar protecciones de seguridad en binarios de código C, incluso cuando el código fuente sigue las mejores prácticas. Chris Domas, investigador de seguridad, explicó junto a David Bombal cómo el proceso de compilación transforma el código de tal manera que operaciones críticas de limpieza de memoria pueden ser eliminadas o cómo surgen vulnerabilidades de tipo 'time-of-check to time-of-use'.
El análisis destaca que la vulnerabilidad no depende solo del código, sino de factores como la presión de registros, el diseño de estructuras de datos y el tamaño exacto de los datos. Domas señaló ejemplos donde tamaños de 17 o 33 bytes resultan seguros, mientras que tamaños cercanos generan binarios vulnerables. Se discutió que cambiar de compilador (de GCC a Clang) no es una solución definitiva, ni lo es migrar a Rust, ya que el problema radica en la abstracción de la máquina C y las transformaciones permitidas por el estándar.
Para mitigar estos riesgos, los expertos recomiendan a los desarrolladores activar advertencias del compilador, utilizar sanitizadores, analizar las builds optimizadas y, crucialmente, probar el binario exacto que se distribuirá. Además, se mencionó el uso de inteligencia artificial para analizar 500 millones de líneas de código de código abierto, identificando 300 patrones potencialmente peligrosos. Esta investigación subraya la necesidad de validar la seguridad a nivel de binario, no solo a nivel de código fuente.