Vulnerabilidades en PHP ponen en jaque a millones de páginas web

El 21 de octubre, el equipo de PHP reveló la existencia de dos vulnerabilidades críticas que podrían permitir a ciberdelincuentes ejecutar código en los servidores afectados sin necesidad de autenticación. Esto ha encendido las alarmas en el ámbito digital, ya que PHP es fundamental para el funcionamiento de innumerables sitios en la web.

A raíz de esta situación, diversas empresas e instituciones han comenzado a revisar sus sistemas y aplicar actualizaciones de seguridad. En algunos casos, se han visto obligadas a desconectar temporalmente sus servicios de internet para mitigar el riesgo de ataques.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) ha instado a las organizaciones a actuar con prontitud. En su cuenta oficial de NSA Cyber, recomendó que quienes no puedan implementar las actualizaciones de inmediato, aíslen los sistemas vulnerables hasta que la situación esté controlada.

Detalles de las vulnerabilidades encontradas

Las vulnerabilidades identificadas son conocidas como CVE-2026-109618 y CVE-2026-109619. Estas permiten que un atacante ejecute instrucciones maliciosas en un servidor sin tener credenciales de acceso. Esto puede derivar en el acceso no autorizado a datos, modificación de archivos o incluso la interrupción de servicios.

El proyecto PHP calificó la gravedad de estas fallas con un 9,2 sobre 10, destacando que están relacionadas con la gestión de memoria y el manejo de condiciones de error. Esto complica la creación de parches que sean compatibles con todas las configuraciones y extensiones del lenguaje.

1. Instalar versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
2. Comprobar la versión de PHP utilizada en los servidores.
3. Si no se puede actualizar, retirar temporalmente el sistema de internet.

La situación se originó tras una auditoría de seguridad realizada por la empresa Calif desde el 30 de julio, lo que dio pie a múltiples investigaciones sobre el alcance de las vulnerabilidades. Especialistas de diversas organizaciones colaboran para corregir las fallas y asegurar el correcto funcionamiento de las plataformas que dependen de PHP.