Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado para desarrollar y mantener millones de páginas web y aplicaciones, encendieron las alertas de organismos de ciberseguridad de varios países este miércoles 21 de octubre.
Los fallos podrían permitir que un atacante ejecute instrucciones en un servidor sin necesidad de tener una cuenta o contraseña, lo que pondría en riesgo la información almacenada y otros sistemas conectados.
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619 y recibieron una puntuación de gravedad de 9,2 sobre 10. El equipo de desarrollo de PHP publicó actualizaciones para corregirlas, mientras que la división de ciberseguridad del FBI recomendó a las organizaciones instalar los parches de inmediato o desconectar temporalmente de Internet los sistemas que no pudieran actualizarse.
La alerta tuvo consecuencias en varios países principalmente de Europa. Por ejemplo, en Bélgica, Países Bajos, Alemania, Francia y Finlandia se reportaron desconexiones preventivas de sitios gubernamentales y otros servicios digitales. Sin embargo, Japón también pidió a los operadores de páginas web que comprobaran si utilizaban PHP y se prepararan para instalar las correcciones.
Aunque se detectó tráfico de ataque dirigido contra clientes de Cloudflare, una empresa que ofrece servicios de infraestructura y seguridad para sitios web (incluidas herramientas para acelerar la carga de las páginas y protegerlas de ataques informáticos), las interrupciones de servicios no significan necesariamente que esos sitios hayan sido comprometidos
¿Qué es PHP y por qué una falla en este lenguaje puede afectar a una página web?
PHP es un lenguaje de programación que funciona principalmente en los servidores y permite que una página web realice tareas que van más allá de mostrar información estática. Por ejemplo, puede procesar formularios, gestionar sesiones de usuarios, consultar bases de datos y generar contenido personalizado.
Según estimaciones de W3Techs, PHP se utiliza en aproximadamente el 70 % de los sitios web cuya tecnología de programación del lado del servidor se conoce. Esto ayuda a dimensionar el alcance potencial de una vulnerabilidad en este lenguaje, aunque no significa que ese porcentaje de páginas esté afectado por las fallas detectadas.
Se utiliza en numerosas aplicaciones web y plataformas de gestión de contenido, entre ellas WordPress, uno de los sistemas más conocidos para crear y administrar sitios de noticias, blogs y páginas corporativas. También puede formar parte de la infraestructura de servicios digitales de empresas e instituciones públicas.
Para entender el problema, hay que distinguir entre lo que una persona ve cuando visita una página web y los sistemas que funcionan detrás de ella. Por ejemplo, cuando alguien inicia sesión, consulta una noticia o completa un formulario, su navegador envía una solicitud al servidor donde está alojada la página. Ese servidor procesa la solicitud y devuelve una respuesta, como mostrar el contenido solicitado o confirmar que el usuario inició sesión.
PHP es una de las tecnologías que puede realizar esas tareas en el servidor. Por eso, una falla en este lenguaje puede comprometer el funcionamiento y la seguridad de una página, aunque el problema no esté en los textos, las imágenes o los botones que ve el visitante.
Si el propio componente que ejecuta esas instrucciones tiene una vulnerabilidad, un atacante podría aprovecharla para intervenir en el servidor sin necesidad de encontrar primero una contraseña o vulnerar una cuenta de usuario. El problema, por tanto, no tiene que estar en el diseño de la página ni en el código escrito por quien la desarrolló: puede encontrarse en la tecnología que permite ejecutarla.
Esto tampoco significa que todas las páginas que utilizan WordPress u otras plataformas estén comprometidas. La exposición depende de la versión de PHP instalada, de cómo esté configurado el servidor y de las medidas de seguridad aplicadas.
¿Qué permiten hacer las dos vulnerabilidades?
Los fallos afectan a la manera en que PHP administra información temporal en la memoria del servidor. Aunque ambos problemas están relacionados con la gestión de memoria, corresponden a errores distintos.
La primera vulnerabilidad, identificada como CVE-2026-109618, está relacionada con un fallo de gestión de memoria que puede provocar que PHP maneje incorrectamente datos internos. Un atacante podría aprovechar ese estado para alterar el funcionamiento del programa y ejecutar código malicioso.
La segunda, CVE-2026-109619, está relacionada con el uso de información de memoria que ya debería haberse descartado. En determinadas condiciones, PHP puede reutilizar datos internos de una solicitud anterior de forma incorrecta al procesar otra petición.
La memoria es el espacio que utiliza un programa para guardar temporalmente los datos que necesita mientras funciona. Cuando el software no administra correctamente esa información, puede producirse un comportamiento inesperado que un atacante intente aprovechar.
En este caso, el riesgo principal es la posibilidad de ejecutar código de forma remota y sin autenticación. En términos sencillos, una persona malintencionada podría enviar una solicitud preparada para aprovechar el fallo y conseguir que el servidor ejecute instrucciones que no debería aceptar.
Dependiendo de las condiciones del sistema y de los permisos con los que funcione el proceso afectado, esto podría permitir el acceso a información sensible, la manipulación de archivos o nuevas acciones contra otros componentes de la infraestructura. No implica automáticamente que el atacante obtenga acceso ilimitado a toda la red, pero sí representa un riesgo grave para los sistemas vulnerables.
La documentación técnica también señala que se demostró un método de explotación sin autenticación contra una configuración de Apache con mod_php. En ese escenario, el ataque puede producirse antes de que se ejecute el código de la aplicación web.
¿Qué versiones de PHP deben actualizarse?
El equipo de desarrollo de PHP publicó las siguientes versiones corregidas el 21 de octubre:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Los administradores deben comprobar qué versión está instalada en sus servidores y actualizarla a la versión corregida correspondiente. Si una página está alojada en un proveedor externo, deben consultar con la empresa responsable para confirmar que aplicó el parche.
Las versiones PHP 8.1 y anteriores requieren especial atención porque están fuera del soporte oficial del proyecto. Sin embargo, esto no significa que todos los sistemas antiguos carezcan de opciones para corregirse: algunos proveedores de Linux y servicios de soporte extendido distribuyen sus propias actualizaciones de seguridad. En esos casos, los responsables deben seguir las instrucciones del proveedor correspondiente.
La actualización debe realizarse en el entorno que ejecuta PHP, no solamente en la plataforma que utiliza la página. Por ejemplo, actualizar WordPress o sus complementos no garantiza que el servidor tenga instalada una versión corregida de PHP. Son componentes diferentes y deben revisarse por separado.
¿Qué deben hacer los administradores de páginas web?
Las recomendaciones de seguridad se concentran en cuatro medidas:
- Identificar dónde se utiliza PHP. Las organizaciones deben inventariar sus servidores y aplicaciones, con prioridad para los sistemas accesibles desde Internet y los productos de terceros que incorporen el lenguaje.
- Instalar la versión corregida. Los administradores deben comprobar la versión de PHP y aplicar la actualización que corresponda. Si dependen de un proveedor de alojamiento, deben confirmar que este haya realizado el cambio.
- Desconectar temporalmente los sistemas que no puedan actualizarse. El FBI recomendó aislar de Internet las instalaciones expuestas hasta que puedan corregirse. El objetivo es reducir la posibilidad de que un atacante alcance el componente vulnerable.
- Vigilar posibles señales de intrusión. Después de aplicar las medidas correctivas, los responsables deben revisar los registros del servidor y buscar actividad inusual. Si encuentran indicios de compromiso, deben aislar el sistema afectado y conservar las evidencias para investigar lo ocurrido.
PHP advirtió que las medidas temporales de mitigación no sustituyen completamente la actualización. Por eso, modificar algunos parámetros de configuración no debe considerarse una solución definitiva.
La recomendación central es comprobar qué sistemas están expuestos y aplicar el parche correspondiente cuanto antes. Para las organizaciones que no puedan hacerlo de inmediato, desconectar temporalmente los sistemas vulnerables reduce el riesgo mientras se completa la corrección.
¿Qué países tomaron medidas y qué servicios se vieron afectados?
La advertencia de seguridad provocó una respuesta preventiva en varios países, especialmente en Europa. Las organizaciones afectadas retiraron temporalmente algunas páginas de Internet mientras comprobaban sus sistemas y preparaban la instalación de los parches.
En Bélgica, las desconexiones alcanzaron sitios de instituciones públicas, medios de comunicación, hospitales y empresas. Entre las páginas reportadas estuvieron las del Parlamento flamenco y de varios servicios públicos federales, además de la radiotelevisión pública flamenca VRT y sitios de medios del grupo DPG Media. También se reportaron interrupciones en Smartschool, una plataforma utilizada por colegios para comunicarse con padres y alumnos, y en las páginas de dos hospitales de Amberes.
El gobierno de la región belga de Flandes ordenó retirar temporalmente las páginas oficiales que funcionaban con PHP. Las autoridades belgas recomendaron instalar las correcciones y desconectar los sistemas que no pudieran actualizarse inmediatamente. El Centro para la Ciberseguridad de Bélgica indicó que, hasta ese momento, no tenía constancia de incidentes reales relacionados con la explotación de las vulnerabilidades en el país.
En Países Bajos, la medida afectó a varios servicios públicos digitales, entre ellos Overheid.nl, MijnOverheid y DigiD. Este último es el sistema de identificación que utilizan los ciudadanos para acceder a distintos servicios de la administración, incluidos trámites tributarios y sanitarios. Las autoridades señalaron que no habían identificado señales de explotación activa en sus propios sistemas cuando emitieron sus primeras comunicaciones.
En Alemania, se retiraron temporalmente varias páginas administradas por el proveedor federal de servicios informáticos. En Francia, el Ministerio del Interior desactivó páginas de prefecturas, mientras que en Finlandia se suspendieron servicios web públicos como medida de precaución.
Japón también emitió una advertencia para que los operadores de sitios web comprobaran si utilizaban PHP y se prepararan para instalar las actualizaciones. La empresa Sakura Internet anunció, además, la suspensión de algunas funciones de sus servicios en la nube.
Las advertencias se sumaron a las emitidas por organismos como el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea (CERT-EU), el Centro Nacional de Ciberseguridad del Reino Unido y el Instituto Nacional de Ciberseguridad de España (Incibe).
Estas medidas muestran el alcance potencial del problema, pero desconectar una página por precaución no significa que haya sido hackeada. En varios de los casos reportados, las organizaciones decidieron reducir su exposición mientras corregían el software.
¿Se detectaron intentos de ataque?
Sí. Cloudflare informó que observó tráfico de ataque dirigido contra sus clientes y señaló que algunos intentos incluían modificaciones destinadas a evadir sus mecanismos de protección.
Este dato indica que hubo actividad dirigida a aprovechar las vulnerabilidades, pero no demuestra que todos los intentos hayan tenido éxito ni que los sistemas desconectados preventivamente sufrieran una intrusión.
La recomendación del FBI fue que las organizaciones identificaran los sistemas que utilizan PHP, priorizaran los que están accesibles desde Internet y revisaran también los productos de terceros que incorporan esta tecnología.
La agencia pidió vigilar señales sospechosas en los servidores, como procesos de PHP que abran inesperadamente terminales de comandos o descarguen archivos. Estos comportamientos pueden ser indicios de que alguien intenta ejecutar instrucciones no autorizadas.
Si se detecta una posible intrusión, el FBI recomienda aislar los sistemas afectados, conservar los registros de actividad del servidor y reportar el incidente a través de una oficina local de la agencia o del Centro de Denuncias de Delitos en Internet (IC3).
Este contenido incluye redacción realizada con la inteligencia artificial de ChatGPT. Supervisado y verificado por el equipo editorial. Conoce nuestra política de uso de inteligencia artificial.
Publicado por Autor El Diario
