Alerta mundial por dos fallos críticos en PHP que permiten tomar el control de servidores

Los equipos de seguridad de PHP publicaron actualizaciones para corregir dos vulnerabilidades críticas que podrían permitir a atacantes ejecutar código de forma remota en servidores afectados, sin necesidad de disponer de credenciales válidas. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, obtuvieron una puntuación de 9,2 sobre 10 en la escala CVSS v4.0, según información atribuida a la firma de ciberseguridad Qualys.

Las vulnerabilidades afectan al núcleo del lenguaje de programación, utilizado en numerosos sitios web y aplicaciones digitales. Su gravedad radica en la posibilidad de comprometer sistemas que mantengan versiones vulnerables, con consecuencias potenciales para la disponibilidad, la integridad y la seguridad de los servicios alojados.

De acuerdo con un aviso del equipo europeo de respuesta a emergencias informáticas CERT-EU, recogido por el medio MeriTalk, las versiones que incluyen las correcciones son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

La recomendación es verificar la versión instalada y actualizar las implementaciones anteriores a las ediciones corregidas que correspondan a cada rama del lenguaje. La intervención resulta especialmente relevante para los servidores que ofrecen servicios directamente a través de internet.

La publicación de los parches estuvo acompañada de advertencias de organismos internacionales. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) difundió una declaración conjunta con la Comisión Europea, CERT-EU, la unidad de ciberdelincuencia de Europol y la red de equipos nacionales de respuesta a incidentes, conocida como CSIRT.

En Estados Unidos, la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) pidió aplicar las actualizaciones de inmediato. La División Cibernética del FBI también se sumó a las alertas difundidas por los canales oficiales.

ENISA recomendó a las organizaciones identificar los sitios web, servicios y aplicaciones que utilizan PHP, así como coordinar las labores de actualización con sus proveedores de alojamiento y servicios tecnológicos.

La agencia también aconsejó dar prioridad a los sistemas accesibles desde internet, debido a su exposición ante posibles ataques externos. Cuando no sea posible instalar de inmediato las correcciones, la recomendación es aislar las aplicaciones vulnerables de las redes públicas hasta completar la actualización.

Como apoyo para las labores de identificación, ENISA remitió a un repositorio del Centro de Ciberseguridad de los Países Bajos (NCSC-NL), destinado a ayudar a detectar productos de terceros que incorporan PHP. Esta revisión es importante porque el lenguaje puede estar presente en plataformas instaladas por proveedores externos y no únicamente en desarrollos administrados directamente por cada organización.

Hasta el momento, las fuentes citadas no habían confirmado la explotación activa de estas vulnerabilidades. Sin embargo, CERT-EU advirtió que comenzaban a circular públicamente detalles técnicos y pruebas de concepto iniciales.

La disponibilidad de esa información puede facilitar los intentos de ataque contra sistemas que todavía no hayan instalado los parches. Por esta razón, las recomendaciones oficiales se concentran en reducir cuanto antes la exposición y comprobar que las actualizaciones se hayan aplicado correctamente.

Según MeriTalk, que cita información proporcionada por OpenAI, la divulgación de los problemas fue coordinada durante aproximadamente dos meses. El medio también informó que Wiz habría identificado y notificado de manera independiente las dos vulnerabilidades, con aportes de Cloudflare. Estos antecedentes corresponden a información atribuida a las compañías y no a confirmaciones de los organismos oficiales mencionados.

PHP es una tecnología ampliamente utilizada en el desarrollo de páginas web, sistemas de gestión de contenidos y plataformas de comercio electrónico. Su presencia en infraestructuras digitales de distintos sectores amplía la cantidad de sistemas que los administradores deben revisar para determinar si están afectados.

La publicación de las correcciones constituye el primer paso para mitigar el problema, pero su efectividad depende de que los responsables tecnológicos identifiquen las instalaciones vulnerables y completen la actualización.

Por ahora, la prioridad señalada por las autoridades consiste en aplicar los parches disponibles, limitar la exposición de los servicios que no puedan corregirse inmediatamente y mantener vigilancia sobre los sistemas hasta verificar que se encuentren protegidos.

Preguntas y respuestas de contexto

¿En qué consisten los fallos críticos detectados en PHP?

Se trata de dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) que permiten a atacantes ejecutar código malicioso de forma remota y sin necesidad de contraseñas. Estos fallos afectan el núcleo del lenguaje y tienen una calificación de gravedad de 9,2 sobre 10.

¿Qué medidas deben tomar los administradores de sitios web?

La recomendación principal es actualizar de inmediato a las versiones corregidas (8.5.12, 8.4.27, 8.3.36 o 8.2.35) y, en caso de no poder hacerlo pronto, aislar las aplicaciones vulnerables de internet.

¿Quiénes emitieron la alerta y cuál es el riesgo actual?

Agencias de ciberseguridad de Estados Unidos (CISA, FBI) y la Unión Europea (ENISA) lanzaron la advertencia debido a que ya circulan detalles técnicos que facilitan posibles ataques, aunque aún no se confirma su explotación activa.