El proyecto PHP publicó el miércoles actualizaciones de emergencia para dos vulnerabilidades críticas que podrían permitir a un atacante no autenticado ejecutar código en un servidor web, lo que desencadenó una campaña inmediata de aplicación de parches en los sectores público y privado. Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una calificación de gravedad de 9.2 cada una. El registro oficial de cambios de PHP documenta las correcciones, mientras que CERT-EU indicó que los parches estuvieron disponibles alrededor de las 9:30 a. m. (hora del este).
La emergencia es inusualmente generalizada, ya que PHP se ejecuta en gran parte de la web. La Unidad 42 estimó que más de 22,6 millones de instancias expuestas a internet podrían ser vulnerables. Esta cifra describe la exposición potencial, no una vulneración confirmada, pero explica por qué las agencias están tratando los defectos como un riesgo a nivel de infraestructura, en lugar de un problema específico de software.
Qué solucionan las actualizaciones
Los administradores deben actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Estas son las versiones compatibles que incluyen las correcciones. CERT-EU indicó que las instalaciones que gestionan solicitudes web están en riesgo en configuraciones comunes, como PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed; identificó a mod_php como la configuración de mayor riesgo. La empresa de seguridad Huntress publicó de forma independiente las mismas ramas corregidas y afirmó que se habían filtrado detalles técnicos antes del lanzamiento coordinado.
Ambas vulnerabilidades pueden explotarse sin autenticación, pero se originan por vías diferentes. Los investigadores describen una como un abuso en el manejo de errores de memoria por parte de PHP, y la otra como la manipulación de un estado global obsoleto entre solicitudes. En la práctica, una explotación exitosa podría otorgar a un atacante la capacidad de ejecutar comandos con los privilegios del proceso PHP afectado, lo que potencialmente le permitiría acceder a archivos, bases de datos o información confidencial de la aplicación. El impacto exacto dependería de la configuración del servidor y de los permisos de acceso de dicho proceso.
El soporte estándar ya no cubre PHP 8.1 ni versiones anteriores. CERT-EU indicó que se prepararon adaptaciones limitadas para algunas versiones antiguas, pero los operadores que utilizan instalaciones heredadas podrían necesitar un paquete mantenido por la distribución o una compilación comercial con soporte a largo plazo. Una simple actualización de la aplicación web no es suficiente si el entorno de ejecución de PHP subyacente permanece sin parchear.
Los cierres preventivos se propagan
Varios sitios web gubernamentales, escolares y hospitalarios en Europa fueron desconectados temporalmente mientras sus operadores aplicaban correcciones o verificaban dependencias. Reuters documentó cierres preventivos en los Países Bajos, Alemania, Francia y Finlandia, entre otros países. Wired informó por separado que los equipos de seguridad trabajaban a contrarreloj para proteger los sistemas heredados que no podían actualizarse de inmediato.
Estas interrupciones no demuestran que las instituciones afectadas hayan sufrido una brecha de seguridad. Funcionarios de varios países afirmaron no tener conocimiento de ningún incidente de seguridad y describieron los cierres como medidas preventivas. Cloudflare indicó que estaba detectando ataques incipientes y que estaba actualizando las medidas de mitigación de su firewall, pero Huntress afirmó que, hasta las 10:00 a. m. (hora del este), no había observado ninguna explotación en su red de socios. Ambas afirmaciones pueden coexistir: la actividad de ataque puede aparecer en ciertas partes de internet antes de ser visible en todas las redes de monitoreo.
Las agencias estadounidenses instan a tomar medidas inmediatas
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) recomendó a las organizaciones actualizar sus sistemas de inmediato. En su aviso, la agencia indicó que no había detectado ninguna vulnerabilidad al momento de la publicación, pero advirtió que los sistemas sin parchear seguían en riesgo. Por otra parte, la Agencia de Seguridad Nacional (NSA) aconsejó a las organizaciones que no pudieran actualizar sus sistemas de inmediato que desconectaran los sistemas afectados hasta que se solucionara el problema por completo, según un segundo informe de Reuters.
Para las organizaciones estadounidenses, la primera tarea es inventariar los sistemas con acceso a internet, en lugar de asumir que el problema se limita a un sitio web visible. PHP puede estar presente en sistemas de gestión de contenido, portales de clientes, herramientas internas, paneles de control de alojamiento y aplicaciones gestionadas por proveedores. Los propietarios deben confirmar la versión del entorno de ejecución con su proveedor de alojamiento, aplicar un paquete actualizado, reiniciar los servicios correspondientes y verificar que la nueva versión se esté ejecutando correctamente. Los firewalls de aplicaciones web pueden reducir la exposición, pero CERT-EU advirtió que las medidas de mitigación temporales no reemplazan la solución definitiva para el entorno de ejecución.
¿Qué sucede después?
Los equipos de seguridad deben conservar los registros, vigilar los procesos secundarios inusuales o las conexiones salientes inesperadas y cambiar las credenciales si detectan indicios de vulneración. Las organizaciones que no puedan determinar rápidamente si un servicio PHP público está actualizado deben aislarlo hasta que se verifique su estado. El riesgo es mayor durante el período inmediatamente posterior al lanzamiento de un parche, cuando los responsables de la seguridad actualizan los sistemas mientras los atacantes estudian la corrección y las pruebas de concepto públicas.
Hasta la tarde del miércoles, ninguna fuente autorizada había confirmado una brecha de seguridad masiva. Esta incertidumbre debería moderar las afirmaciones sobre los daños, pero no disminuye la necesidad de actuar: circulan detalles públicos sobre la vulnerabilidad, existen soluciones disponibles y el software vulnerable está presente en millones de sistemas expuestos. La siguiente medida decisiva será la rapidez con la que los operadores instalen las versiones corregidas y si la telemetría de CISA, los principales proveedores de servicios en la nube y las empresas de respuesta a incidentes muestra que la explotación se está extendiendo más allá de la actividad inicial ya reportada.
