Dos vulnerabilidades críticas en PHP podrían permitir a los atacantes ejecutar código en servidores web. Actualizar a las versiones corregidas es clave para reducir riesgos.
¿Qué está pasando?
El 21 de octubre de 2026, el equipo de PHP publicó actualizaciones de emergencia para corregir dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619, con una severidad reportada de 9.2.
Estas fallas pueden afectar instalaciones de PHP que procesan solicitudes web, tanto en servidores propios como en servicios de hosting. Esto incluye sitios y plataformas desarrolladas con tecnologías como WordPress, Drupal, Joomla y Magento.
Además, se han reportado intentos de ataque. Cloudflare advirtió sobre actividad maliciosa inicial, por lo que es importante revisar los sistemas expuestos y aplicar las correcciones correspondientes.
¿Qué riesgos representan estas vulnerabilidades?
Dependiendo de la configuración del servidor, un atacante podría ejecutar código sin necesidad de iniciar sesión. Esto podría facilitar acciones como:
- Robo de información: acceder a datos almacenados o procesados por el servidor.
- Modificación de sitios web: alterar contenido o insertar elementos maliciosos.
- Instalación de puertas traseras: mantener acceso no autorizado al sistema.
- Distribución de malware o phishing: utilizar un sitio comprometido para afectar a sus visitantes y aprovechar la confianza que genera su marca.
Una aplicación bien desarrollada no necesariamente queda protegida, ya que, en determinadas configuraciones, la vulnerabilidad puede activarse antes de que se ejecute el código del sitio.
¿Cómo reducir el riesgo?
La principal recomendación es actualizar PHP a una de las versiones corregidas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si no es posible actualizar de inmediato, se recomienda aislar temporalmente de Internet las aplicaciones expuestas hasta poder aplicar la corrección.
También es importante identificar todos los sistemas que utilizan PHP, incluidos sitios antiguos, entornos de prueba y paneles administrativos. Si utilizas un proveedor de hosting, solicita confirmación de que los parches ya están instalados, no solamente programados.
Después de actualizar, revisa si existen archivos, redirecciones o contenidos no autorizados. Si tu organización utiliza versiones antiguas de PHP, consulta con el proveedor si existe alguna corrección disponible o considera migrar a una versión con soporte.
Preguntas frecuentes
¿Actualizar WordPress corrige estas vulnerabilidades?
No necesariamente. Actualizar WordPress y sus complementos no implica actualizar la versión de PHP del servidor.
¿Un firewall de aplicaciones web es suficiente?
No. Las reglas de seguridad pueden ayudar a reducir la exposición, pero no sustituyen la instalación de las actualizaciones correctivas.
¿Qué pasa si utilizo PHP 8.1 o una versión anterior?
Estas versiones ya no reciben actualizaciones periódicas de seguridad por parte del proyecto PHP. Consulta con tu proveedor las opciones disponibles y considera migrar a una versión con soporte.
¿Si mi sitio está fuera de línea significa que fue comprometido?
No. Algunos sitios se desconectan temporalmente para aplicar parches. Sin embargo, conviene verificar su integridad antes de volver a publicarlos.
Mantente al tanto de los riesgos
La actualización oportuna de los sistemas es una medida importante para reducir la exposición ante vulnerabilidades críticas. En Cero Uno Software, te ayudamos a identificar riesgos y tomar decisiones informadas para fortalecer la seguridad de tu organización.
Fuente: «Malwarebytes, PHP2Shell: Por qué muchos sitios web tuvieron que desconectarse»
Cero Uno Software, tus aliados en Ciberseguridad.
