Te puede interesar:
La advertencia encendió las alarmas de ciberseguridad y llevó a organismos y empresas a actualizar sus sistemas o desconectar servicios preventivamente.
28/10/2026 9:57
Escuchar esta nota
Una alerta de seguridad puso bajo la lupa a PHP, uno de los lenguajes de programación utilizados para el funcionamiento de millones de sitios web. El 21 de octubre, el equipo responsable del proyecto publicó actualizaciones de emergencia para corregir dos vulnerabilidades críticas que podrían permitir a ciberdelincuentes ejecutar código en servidores afectados sin necesidad de iniciar sesión.
La gravedad del problema llevó a empresas y organismos públicos a revisar sus sistemas, aplicar parches de seguridad y, en algunos casos, desconectar temporalmente servicios de internet para reducir el riesgo.
La Agencia de Seguridad Nacional de Estados Unidos (NSA), a través de su cuenta especializada NSA Cyber, recomendó actuar de inmediato. Su advertencia fue clara: las organizaciones que no pudieran instalar las correcciones con rapidez debían aislar los sistemas vulnerables hasta controlar la amenaza.
Según la información difundida por el proyecto PHP, las fallas podrían abrir el acceso a archivos y bases de datos almacenados en los servidores afectados.
PHP es un lenguaje de programación que funciona del lado del servidor. Su tarea consiste en procesar información y generar el contenido que aparece en el navegador cuando una persona visita un sitio web.
No es una aplicación que los usuarios deban descargar en sus teléfonos ni una página web en sí misma. Es una tecnología que trabaja detrás de escena para que distintos servicios digitales funcionen.
Su nombre corresponde a PHP: Hypertext Preprocessor, y su uso se extendió gracias a herramientas que facilitan la creación y administración de sitios web.
Entre las plataformas que utilizan PHP se encuentran WordPress, Joomla!, Drupal y Moodle. También está presente en blogs, tiendas virtuales, portales institucionales, plataformas educativas y otros servicios que necesitan procesar información de manera dinámica.
Las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619 permitirían la ejecución remota de código, de acuerdo con el aviso citado en la información del proyecto PHP.
En términos sencillos, un atacante podría conseguir que un servidor vulnerable ejecute instrucciones maliciosas sin contar con credenciales de acceso.
Dependiendo de las condiciones del sistema y de los permisos disponibles, una intrusión podría facilitar el acceso a información almacenada, la modificación de archivos, el robo de datos o la interrupción de servicios.
La gravedad de ambas fallas fue calificada con una puntuación de 9,2 sobre 10 en la información proporcionada por el proyecto.
Los errores están relacionados con componentes internos del lenguaje, entre ellos la gestión de memoria y el tratamiento de determinadas condiciones de error. La complejidad de estos componentes también puede dificultar la elaboración de correcciones compatibles con diferentes configuraciones y extensiones.
Una de las vulnerabilidades se relaciona con una situación de agotamiento de recursos que puede provocar corrupción de memoria. La otra está vinculada con un estado global obsoleto que podría mantenerse entre operaciones.
De acuerdo con el material difundido sobre el caso, la investigación tomó impulso a partir de una auditoría de seguridad iniciada el 30 de julio por la empresa Calif, en el marco del programa Patch the Planet, orientado a encontrar fallas en programas de uso extendido.
El 11 de agosto, el investigador Ryan A. reportó una vía para tomar el control remoto de un servidor sin autenticación. El hallazgo compartía una causa de fondo con un problema detectado en 2024 relacionado con la falta de memoria disponible.
Ese mismo día, OpenAI comunicó de forma independiente una falla vinculada con la misma causa. Posteriormente identificó otros métodos de ataque, mientras que la empresa de ciberseguridad Wiz aportó un vector adicional el 24 de agosto.
La firma Trail of Bits también inició una revisión de seguridad sobre PHP. Los reportes contribuyeron a dimensionar el alcance potencial del problema.
A partir de esos hallazgos, el equipo de seguridad del proyecto priorizó el desarrollo de los parches y coordinó el trabajo con investigadores y distribuidores de software. Según la información difundida, las herramientas de inteligencia artificial ayudaron a analizar reportes y reproducir ataques, mientras que las decisiones sobre las correcciones quedaron en manos de especialistas.
¿Qué deben hacer los sitios web afectados?
La recomendación principal es instalar las versiones corregidas de PHP. Según el material proporcionado, las actualizaciones de seguridad están disponibles en las ramas 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Los administradores de servidores, empresas, instituciones y equipos técnicos deben comprobar qué versión utilizan y aplicar la actualización correspondiente cuanto antes.
Si un sistema no puede actualizarse de inmediato, la recomendación citada es retirarlo temporalmente de internet o aislarlo hasta reducir el riesgo. Las medidas alternativas pueden limitar algunas vías de ataque, pero no sustituyen la corrección del software vulnerable.