Tabla de contenidos
Agencias de ciberseguridad de más de diez países emitieron advertencias por dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en numerosos sitios web, aplicaciones y sistemas digitales.
Las fallas podrían permitir que atacantes ejecuten código malicioso de forma remota en servidores vulnerables, incluso sin contar previamente con credenciales de acceso.
Durante el miércoles 21 de octubre de 2026, organismos de Estados Unidos, Japón, Reino Unido, España, Francia, Países Bajos y otros países difundieron recomendaciones para reducir los riesgos.
Las autoridades solicitaron actualizar las instalaciones afectadas y considerar el aislamiento de los sistemas que no puedan recibir las correcciones inmediatamente.
¿Qué pasó con PHP y por qué existe una alerta mundial?
El equipo responsable de PHP publicó actualizaciones de seguridad para corregir dos vulnerabilidades de alta gravedad.
Los problemas fueron identificados mediante los códigos CVE-2026-109618 y CVE-2026-109619.
Ambas fallas recibieron una calificación de 9.2 sobre 10 en la escala CVSS 4.0, utilizada para evaluar la gravedad de las vulnerabilidades informáticas.
El principal riesgo es que un atacante pueda ejecutar instrucciones maliciosas dentro de un servidor vulnerable sin necesidad de autenticarse.
Dependiendo de la configuración y los permisos del sistema afectado, una explotación exitosa podría comprometer información o permitir otras actividades no autorizadas.
La publicación de detalles técnicos y pruebas de concepto aumentó la preocupación entre los equipos de respuesta a incidentes.
¿Cuáles son las dos vulnerabilidades críticas de PHP?
Las fallas afectan componentes internos del lenguaje y están relacionadas con el manejo de memoria y determinados estados de ejecución.
CVE-2026-109618: problemas en la gestión de memoria
La primera vulnerabilidad está relacionada con el manejo de errores cuando PHP alcanza determinados límites de memoria.
Bajo ciertas condiciones, el procesamiento de una solicitud puede provocar una gestión incorrecta de datos internos.
Este comportamiento podría ser aprovechado para ejecutar código de manera remota.
CVE-2026-109619: reutilización de información interna
La segunda vulnerabilidad está relacionada con información interna que puede permanecer disponible después de determinados errores.
En ciertas circunstancias, una solicitud posterior podría utilizar datos que deberían haberse descartado.
Este problema también puede abrir la posibilidad de ejecución remota de código.
Ambas vulnerabilidades requieren atención inmediata en los sistemas afectados.
¿Qué versiones de PHP deben actualizarse?
Los desarrolladores publicaron cuatro versiones corregidas el 21 de octubre de 2026.
Las actualizaciones recomendadas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Los administradores deben verificar qué versión utilizan sus servidores y aplicar las correcciones correspondientes.
Las instalaciones con versiones anteriores dentro de estas ramas pueden permanecer expuestas si no reciben los parches.
Los sistemas que utilizan PHP 8.1 o versiones más antiguas requieren especial atención, ya que estas ramas dejaron de recibir soporte regular del proyecto.
En algunos casos, proveedores especializados pueden distribuir correcciones adicionales para versiones antiguas.
Sin embargo, las organizaciones deben comprobar que dichas actualizaciones estén disponibles y sean compatibles con sus sistemas.
FBI y NSA advierten sobre los riesgos de mantener servidores vulnerables
En Estados Unidos, organismos de seguridad e inteligencia difundieron advertencias sobre la gravedad de las fallas.
Entre las instituciones mencionadas se encuentran el Buró Federal de Investigaciones (FBI) y la Agencia de Seguridad Nacional (NSA).
Las recomendaciones se centran en aplicar las actualizaciones disponibles y reducir la exposición de los servicios vulnerables.
Cuando no sea posible corregir inmediatamente un sistema, las organizaciones deben evaluar su aislamiento de las redes públicas.
Esta medida busca impedir que posibles atacantes accedan a los servicios afectados mientras se implementan soluciones.
Sin embargo, desconectar un servidor no sustituye la instalación de las correcciones de seguridad.
Europa también recomienda actualizar los sistemas de inmediato
El Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea, conocido como CERT-EU, publicó una alerta sobre las dos vulnerabilidades.
El organismo recomendó actualizar las instalaciones afectadas y priorizar los sistemas accesibles desde internet.
La Agencia de la Unión Europea para la Ciberseguridad (ENISA) también participó en la difusión de las advertencias.
En España, el Instituto Nacional de Ciberseguridad (INCIBE) emitió información sobre los riesgos.
Por su parte, el Centro Nacional de Seguridad Cibernética del Reino Unido advirtió sobre la posibilidad de que atacantes aprovechen estas fallas para ejecutar instrucciones en servidores vulnerables.
Las autoridades coinciden en la importancia de aplicar los parches y revisar la exposición de los servicios.
Las fallas de PHP también podrían afectar enrutadores y otros dispositivos
Uno de los desafíos para identificar los sistemas vulnerables es que PHP no solamente se utiliza en páginas web.
Este lenguaje también puede formar parte de herramientas de administración, plataformas de alojamiento y aplicaciones integradas en diferentes dispositivos.
Entre los equipos potencialmente afectados se encuentran determinados enrutadores, sistemas de administración y dispositivos conectados.
La Agencia de Promoción de Tecnologías de la Información de Japón y organismos de ciberseguridad de Suiza han advertido sobre la necesidad de revisar estas dependencias.
En algunos casos, los administradores pueden desconocer que un producto utiliza PHP como parte de su funcionamiento interno.
Esto dificulta identificar todos los equipos que necesitan actualizaciones.
Sin embargo, utilizar PHP no significa automáticamente que un dispositivo sea vulnerable: el riesgo depende de la versión, la configuración y las condiciones de exposición.
Países Bajos impulsa la identificación de programas afectados
El Centro Nacional de Seguridad Cibernética de Países Bajos habilitó un repositorio público para facilitar la identificación de productos que dependen de PHP.
La iniciativa busca reunir información sobre aplicaciones y sistemas de terceros que podrían necesitar correcciones.
Este esfuerzo permite que fabricantes, administradores y especialistas compartan datos sobre productos afectados.
La identificación de dependencias resulta especialmente importante cuando PHP funciona como un componente interno que no es visible para el usuario.
¿Qué pueden hacer las empresas para proteger sus servidores?
Las agencias de ciberseguridad recomiendan que los administradores revisen sus sistemas y apliquen las actualizaciones oficiales disponibles.
Entre las principales medidas se encuentran:
- Identificar las instalaciones de PHP utilizadas en servidores, aplicaciones y productos de terceros.
- Actualizar a versiones corregidas y verificar que los servicios utilicen efectivamente el software actualizado.
- Priorizar los servidores expuestos a internet, debido a su mayor superficie de ataque.
- Aislar temporalmente los servicios vulnerables cuando no sea posible aplicar una corrección inmediata.
- Revisar registros y actividad sospechosa para identificar posibles intentos de explotación.
- Consultar a los proveedores cuando PHP forme parte de sistemas integrados o versiones con soporte especial.
Algunas agencias también han difundido medidas temporales relacionadas con la configuración de memoria y la carga de archivos.
Sin embargo, estas alternativas no eliminan por completo las vulnerabilidades.
La instalación de las correcciones correspondientes sigue siendo la principal medida de protección.
¿Las vulnerabilidades de PHP afectan a todos los usuarios de internet?
Las fallas afectan principalmente a los sistemas que ejecutan versiones vulnerables de PHP.
Por ello, la responsabilidad inmediata de aplicar los parches corresponde a los administradores de servidores, empresas de alojamiento y proveedores tecnológicos.
Los usuarios que visitan sitios web no necesariamente tienen que realizar una actualización de PHP en sus dispositivos.
Sin embargo, podrían experimentar interrupciones temporales si las organizaciones deciden suspender servicios mientras realizan las correcciones.
También existe la posibilidad de que una explotación exitosa afecte información almacenada en sistemas vulnerables.
El impacto dependerá de cada instalación y de las medidas de seguridad implementadas.
¿Qué sigue tras la alerta internacional por PHP?
La publicación de las actualizaciones permite que las organizaciones comiencen a corregir los sistemas afectados.
No obstante, el proceso puede resultar más complejo en infraestructuras antiguas o en productos que dependen de proveedores externos.
Las agencias internacionales mantienen sus recomendaciones de actualización, revisión y aislamiento de servicios vulnerables.
La aparición de pruebas de concepto también obliga a los administradores a vigilar posibles intentos de explotación.
La alerta internacional por las vulnerabilidades críticas de PHP pone de manifiesto la importancia de mantener actualizada la infraestructura digital y revisar las dependencias tecnológicas que utilizan empresas, instituciones y servicios en internet.
