PHP anuncia un parche de emergencia para dos vulnerabilidades críticas y agencias europeas recomiendan aislar los servidores expuestos
El equipo de seguridad de PHP anunció una publicación urgente para corregir dos fallas con puntuación CVSS 9.2. Tras la filtración de información sobre ellas, CERT-EU y el NCSC británico pidieron prepararse para actualizar y considerar desconectar las aplicaciones que no puedan parchearse.
PHP es el lenguaje que ejecuta del lado del servidor una parte enorme de la web, desde sistemas de gestión de contenidos como WordPress o Drupal hasta tiendas en línea, foros y herramientas internas de empresas. Por eso un aviso de su equipo de seguridad suele tener consecuencias que van mucho más allá de los desarrolladores. El martes 20 de octubre, ese equipo publicó en php.net una notificación anticipada poco habitual: una versión de seguridad programada para el miércoles 21 de octubre que corregirá dos vulnerabilidades críticas, ambas con una puntuación de 9.2 en la escala CVSS 4.0.
El aviso no incluye detalles técnicos, versiones afectadas ni versiones corregidas, que según el proyecto se darán a conocer junto con la publicación. Sí recomienda a todos los usuarios de PHP prepararse para actualizar en cuanto estén disponibles los paquetes, y advierte que el equipo podría adelantar la publicación si los detalles de alguna de las fallas se hacen públicos o si aparecen pruebas de explotación activa.
Ese margen se volvió relevante en pocas horas. La empresa de seguridad watchTowr escribió en X que se había filtrado información sobre vulnerabilidades de ejecución remota de código en PHP que estaban bajo embargo, que podía confirmar que eran reales y que no podía compartir más datos; según ese mensaje, la divulgación coordinada estaba prevista originalmente para el jueves. CERT-EU, el equipo de respuesta a incidentes de las instituciones de la Unión Europea, publicó esa misma noche el aviso 2026-018, en el que identifica las fallas como CVE-2026-109618 y CVE-2026-109619, señala que según las filtraciones permitirían ejecutar código de forma remota y sin autenticación, y precisa que no se habían publicado detalles técnicos. El organismo indicó que podrían afectar a todas las versiones desde PHP 5 y recomendó identificar las aplicaciones basadas en PHP, prepararse para parchear de inmediato y, donde eso no sea posible, aislar de las redes públicas las aplicaciones expuestas a internet hasta que exista una corrección.
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) emitió el miércoles una alerta en la misma línea. Pidió a las organizaciones inventariar los sistemas que ejecutan cualquier versión de PHP, priorizando los expuestos a internet; vigilarlos en busca de actividad maliciosa; seguir la guía oficial del proyecto, y aplicar las actualizaciones en cuanto salgan. También recordó revisar los avisos de fabricantes de equipos y servicios que incorporan PHP, y sugirió considerar desconectar los sistemas que no puedan corregirse de inmediato.
El caso ilustra un riesgo conocido de la divulgación coordinada: cuando la información se filtra antes de que exista una corrección, los defensores quedan en desventaja frente a quienes buscan explotar la falla. A juicio de esta redacción, el impacto real dependerá de dos factores todavía abiertos. El primero es qué configuraciones y componentes del lenguaje están involucrados, algo que solo se sabrá con el aviso oficial. El segundo es la cantidad de servidores que ejecutan ramas de PHP sin soporte, que por norma no reciben correcciones del proyecto y que tendrán que migrar a una versión mantenida o depender de parches de sus distribuidores o proveedores de alojamiento.
Las ramas que hoy reciben actualizaciones de seguridad son PHP 8.2, 8.3, 8.4 y 8.5. Para los equipos que operan sitios en PHP, lo prudente es tener listo el despliegue de las nuevas versiones y comprobar después que todos los servidores, imágenes de contenedores y servicios administrados quedaron efectivamente actualizados.