Dos vulnerabilidades críticas en PHP ponen en alerta a sitios web y gobiernos del mundo

Dos vulnerabilidades críticas en PHP, uno de los lenguajes más utilizados para operar sitios web, provocaron este miércoles 21 de octubre una alerta internacional de ciberseguridad y llevaron a instituciones públicas a desconectar temporalmente servicios digitales para prevenir ataques.

Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9.2 sobre 10 en la escala CVSS.

Ambos pueden permitir la ejecución remota de código sin autenticación, una condición que abre la posibilidad de comprometer servidores sin disponer previamente de contraseñas.

La dimensión del problema está relacionada con la presencia de PHP en Internet. Según estimaciones de W3Techs citadas por Reuters, este lenguaje funciona en cerca del 70% de los sitios web cuyo lenguaje de servidor puede identificarse.

PHP sostiene plataformas como WordPress, Drupal, Joomla y Magento, utilizadas por medios, comercios electrónicos, empresas, universidades y organismos gubernamentales. Sin embargo, utilizar estas plataformas no significa que todos sus sitios estén comprometidos.

Vulnerabilidades en PHP llevan a gobiernos a desconectar servicios

La alerta provocó medidas preventivas en Europa y Asia. Instituciones de Países Bajos y Finlandia suspendieron temporalmente servicios digitales mientras evaluaban su exposición y preparaban las actualizaciones.

En Japón, las autoridades pidieron a los operadores de sitios públicos revisar sus instalaciones de PHP y aplicar las correcciones. También recomendaron suspender los servicios vulnerables cuando no fuera posible protegerlos oportunamente.

El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea, CERT-EU, y autoridades de ciberseguridad del Reino Unido y Australia emitieron recomendaciones similares.

NITRO recomienda: El efecto Starlink.- EU integra redes y Europa busca soberanía

Las interrupciones no significan necesariamente que los organismos hayan sufrido ataques exitosos. En varios casos, la desconexión fue una medida preventiva para reducir la exposición de sus sistemas.

La preocupación es que los atacantes aprovechen la divulgación pública de las vulnerabilidades para identificar servidores desactualizados y ejecutar ataques automatizados.

PHP publica cuatro actualizaciones de emergencia

El equipo responsable de PHP publicó este miércoles cuatro versiones corregidas del lenguaje de programación.

Las actualizaciones corresponden a PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, destinadas a resolver las vulnerabilidades detectadas.

El problema resulta especialmente delicado para organizaciones que todavía utilizan versiones antiguas sin soporte oficial. Estos sistemas pueden requerir migraciones, correcciones de terceros o medidas temporales de aislamiento.

La firma de ciberseguridad Huntress recomendó identificar todas las instalaciones de PHP, incluidas aquellas integradas en programas empresariales, servicios de alojamiento y aplicaciones de terceros.

La compañía también señaló que, hasta la mañana del miércoles, no había identificado explotación de las vulnerabilidades entre sus clientes monitoreados, aunque otros proveedores reportaban indicios de ataques iniciales.

La inteligencia artificial también intervino en el descubrimiento

Otro elemento relevante es la participación de herramientas de inteligencia artificial en las investigaciones que permitieron descubrir las vulnerabilidades.

Equipos de investigación de Calif y Wiz utilizaron modelos de IA para identificar y analizar fallos que habían permanecido inadvertidos durante años.

La Fundación PHP reconoció que los primeros indicios de uno de los problemas habían sido detectados desde 2024, pero que entonces no se había establecido una vía concreta de explotación.

NITRO recomienda: Europa responde a Starlink.- Telefónica, Orange, Vodafone y Deutsche Telekom se unen por espectro satelital

El episodio revela una doble transformación de la ciberseguridad. La inteligencia artificial puede acelerar el descubrimiento de vulnerabilidades, mientras que la divulgación de estas fallas obliga a empresas y gobiernos a reducir los tiempos de respuesta.

Para los usuarios habituales de Internet, las vulnerabilidades no requieren instalar actualizaciones en sus teléfonos o computadoras personales por el solo hecho de navegar por sitios basados en PHP.

La responsabilidad inmediata corresponde a los operadores de servidores, administradores de plataformas y proveedores de alojamiento, que deben aplicar las correcciones y verificar si sus sistemas presentan señales de compromiso.

Sigue a NITRO en LinkedIn.