Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por páginas de noticias, comercios electrónicos y plataformas educativas, obligaron a publicar actualizaciones de seguridad el 21 de octubre. Los errores permiten que un atacante ejecute instrucciones en servidores vulnerables sin contar con una cuenta de usuario ni una contraseña.
Las fallas, conocidas conjuntamente como PHP2Shell, recibieron una calificación de gravedad de 9,2 sobre 10. Los responsables de PHP solicitaron actualizar los sistemas afectados. La exposición depende de la versión instalada y de las condiciones de funcionamiento del servidor. Tener una página desarrollada con este lenguaje no demuestra que haya sufrido una intrusión.
Qué puede ocurrir
PHP trabaja en el servidor donde está alojada una página. Interviene en tareas como consultar bases de datos, procesar formularios y generar contenidos. Es parte del funcionamiento de herramientas como WordPress, Drupal, Joomla y Moodle. Su presencia en servicios de distinta naturaleza explica el alcance de la alerta.
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas están relacionadas con el manejo de la memoria. En determinadas circunstancias, PHP puede conservar o utilizar datos internos inválidos después de una interrupción en el procesamiento de una solicitud. Un atacante puede aprovechar ese comportamiento para ejecutar código con los permisos del proceso que atiende la página.
Las consecuencias pueden incluir acceso a información confidencial, modificación de archivos e interrupción del servicio. La capacidad de avanzar dentro del sistema depende de su configuración y de los permisos disponibles.
Los parches ya están disponibles
El equipo de PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CERT-EU, el servicio de ciberseguridad de las instituciones europeas, recomendó actualizar las instalaciones afectadas cuanto antes.
Los proveedores de sistemas operativos también distribuyen correcciones mediante sus propios paquetes. Ubuntu anunció actualizaciones para sus versiones con soporte. Por eso, la revisión debe considerar tanto la información de PHP como los avisos del proveedor que mantiene el servidor.
En una página construida con WordPress, actualizar el gestor de contenidos no reemplaza la corrección del lenguaje que lo ejecuta. El administrador o la empresa de alojamiento debe comprobar que PHP recibió el parche correspondiente. Si el propietario tiene contratado ese mantenimiento, necesita solicitar la confirmación al proveedor.
Suspensiones preventivas
La alerta produjo restricciones temporales en servicios de distintas instituciones. Entre los casos reportados figuran organismos públicos europeos y sistemas de Wikimedia. Estas decisiones fueron preventivas y no constituyen, por sí mismas, evidencia de robo de información.
Para los usuarios que visitan las páginas, la corrección se realiza en los servidores. No corresponde descargar un supuesto parche de PHP en el teléfono o el computador personal. Conviene atender los avisos oficiales de los servicios utilizados y desconfiar de mensajes que aprovechen la noticia para pedir contraseñas o dirigir a enlaces desconocidos.
La revisión pendiente
Las empresas y entidades deben identificar dónde utilizan PHP y confirmar con sus administradores que las correcciones fueron aplicadas. Las instalaciones antiguas requieren especial atención, porque mantener una versión sin soporte dificulta recibir actualizaciones por los canales habituales.
Si existen señales de acceso irregular, será necesario revisar los archivos y la actividad del servidor. Instalar el parche corrige la vulnerabilidad, pero no permite establecer si alguien la aprovechó antes de la actualización.
Experto en diseño, desarrollo, implementación proyectos multimedia (Producción de contenidos digitales visuales, sonoros y comunicativos para múltiples plataformas)
