Los desarrolladores del lenguaje de programación PHP publicaron una actualización de emergencia para corregir dos vulnerabilidades críticas que amenazaban la seguridad de millones de páginas y aplicaciones web en todo el mundo. La gravedad de los fallos llevó a organismos internacionales de ciberseguridad a recomendar el aislamiento preventivo de determinados servicios digitales hasta garantizar su protección.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9,2 sobre 10 en la escala internacional CVSS 4.0, utilizada para medir la gravedad de los problemas de seguridad informática.
Ambas permiten potencialmente la ejecución remota de código malicioso sin necesidad de autenticación, lo que significa que un atacante podría aprovechar un servidor vulnerable sin disponer previamente de credenciales de acceso.
MILLONES DE PÁGINAS WEB BAJO RIESGO
PHP es uno de los lenguajes de programación más utilizados para desarrollar sitios web dinámicos, gestionar bases de datos, procesar formularios y ejecutar aplicaciones en servidores de internet.
Su presencia en plataformas como WordPress, MediaWiki y Symfony convierte estas vulnerabilidades en una amenaza de alcance internacional.
Los fallos, conocidos conjuntamente como PHP2Shell, están relacionados con errores en la gestión de memoria del propio lenguaje de programación.
Una explotación exitosa podría permitir a los ciberdelincuentes ejecutar instrucciones no autorizadas, modificar contenidos, acceder a información confidencial o comprometer los sistemas afectados.
El problema no reside necesariamente en las aplicaciones desarrolladas con PHP, sino en el entorno que permite ejecutarlas. Por esa razón, actualizar únicamente WordPress u otro gestor de contenidos no garantiza la eliminación de las vulnerabilidades.
PUBLICAN ACTUALIZACIONES DE EMERGENCIA
El equipo responsable de PHP distribuyó el miércoles 21 de octubre cuatro versiones corregidas del lenguaje: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Las actualizaciones incorporan modificaciones destinadas a impedir que los errores identificados puedan utilizarse para ejecutar código malicioso en los servidores.
Las versiones antiguas que ya no cuentan con mantenimiento oficial también representan un riesgo, por lo que sus administradores deberán consultar las alternativas de actualización o los parches proporcionados por sus respectivos proveedores.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) advirtió que las organizaciones deben actuar inmediatamente para proteger sus sistemas.
Asimismo, recomendó que las instituciones que no puedan instalar las correcciones de manera inmediata consideren aislar temporalmente de las redes públicas las aplicaciones expuestas a internet.
ALERTA INTERNACIONAL POR POSIBLES CIBERATAQUES
La publicación de información técnica sobre estas vulnerabilidades ha incrementado la preocupación de los especialistas, debido a que podrían facilitarse nuevos intentos de explotación.
Organismos de ciberseguridad de diferentes países emitieron advertencias para que empresas, instituciones públicas y proveedores de alojamiento web revisen sus instalaciones.
El peligro resulta especialmente importante para los servidores conectados directamente a internet, porque pueden recibir solicitudes de usuarios desconocidos y quedar expuestos a ataques automatizados.
Aunque la publicación de los parches permite solucionar los fallos, las instalaciones que continúen utilizando versiones vulnerables seguirán expuestas.
Los especialistas recomiendan identificar las versiones de PHP instaladas, aplicar las actualizaciones oficiales, reiniciar los servicios afectados y verificar que las correcciones funcionan adecuadamente.
El incidente pone de manifiesto la importancia del mantenimiento permanente de las infraestructuras digitales, especialmente cuando una misma tecnología es utilizada por numerosos portales informativos, instituciones públicas, comercios electrónicos y servicios empresariales.
La actualización inmediata de PHP constituye la principal medida para prevenir posibles ataques y garantizar la continuidad de los servicios web afectados.
