Dos vulnerabilidades permiten ejecutar código de forma remota sin autenticación; autoridades de ciberseguridad instan a actualizar los sistemas ante indicios de explotación activa. La tecnología está presente en cerca de 70% de los sitios web.
Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en buena parte de la infraestructura de internet, encendieron las alertas internacionales por el riesgo de que ciberdelincuentes tomen el control de servidores, accedan a información privada o comprometan bases de datos.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, pueden permitir la ejecución remota de código sin que el atacante necesite autenticarse previamente. Esto significa que, bajo determinadas condiciones, una solicitud enviada a un servidor vulnerable podría abrir la puerta a acciones maliciosas sin que el intruso tenga una cuenta o contraseña legítima.
El equipo de desarrollo de PHP publicó las correcciones el 21 de octubre. Sin embargo, organismos de ciberseguridad de Estados Unidos, Reino Unido, Canadá y la Unión Europea advirtieron que los administradores deben aplicar las actualizaciones con urgencia, debido a los indicios de que los fallos ya están siendo aprovechados.
La alerta tiene alcance mundial porque PHP se utiliza para construir y mantener sitios web, aplicaciones y servicios digitales. Entre las plataformas que emplean esta tecnología se encuentran WordPress, Drupal y MediaWiki, aunque el riesgo concreto depende de las versiones instaladas y de la configuración de cada sistema.
¿Qué tan grave es la vulnerabilidad?
Las dos fallas recibieron una puntuación de 9.2 sobre 10 en el sistema de evaluación de vulnerabilidades CVSS, que mide la gravedad potencial de los problemas de seguridad informática.
La primera vulnerabilidad, CVE-2026-109618, está relacionada con la gestión de memoria cuando un proceso supera el límite establecido. En determinadas circunstancias, el sistema puede intentar liberar información de memoria que no fue inicializada correctamente, lo que abre una posibilidad de manipulación por parte de un atacante.
La segunda, CVE-2026-109619, se relaciona con el uso de información interna que permanece después de que la memoria asociada a una solicitud ha sido liberada. Si el servidor vuelve a utilizar esos datos en una petición posterior, podría producirse una ejecución de código no autorizado.
El riesgo no se limita a una aplicación específica construida con PHP. Las advertencias técnicas señalan que las instalaciones que procesan solicitudes web pueden estar expuestas, incluidos entornos que utilizan PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Una explotación exitosa podría permitir a los atacantes ejecutar instrucciones en el servidor afectado, acceder a archivos, extraer información almacenada o utilizar el equipo comprometido para avanzar hacia otros sistemas de la misma red.
PHP sostiene una parte importante de internet
PHP, siglas de PHP: Hypertext Preprocessor, es un lenguaje de programación que se ejecuta principalmente en los servidores. Su función es procesar información, interactuar con bases de datos y generar contenido dinámico que después aparece en el navegador de los usuarios.
Su uso extendido se debe, en parte, a que es una tecnología de código abierto y a que durante décadas ha servido como base para plataformas de publicación, tiendas electrónicas, sistemas de gestión de contenidos y otros servicios digitales.
Estimaciones del sector sitúan su presencia en alrededor de 70% de los sitios web, aunque esto no significa que todos estén afectados por las vulnerabilidades. El riesgo se concentra en los sistemas que utilizan versiones vulnerables y que no han aplicado las correcciones correspondientes.
La situación también expone un problema estructural: numerosos servicios digitales dependen de componentes de software antiguos que siguen funcionando, pero cuya actualización puede ser compleja porque otras aplicaciones, bibliotecas o sistemas dependen de ellos.
La inteligencia artificial ayudó a detectar el problema
La identificación y el análisis de estas vulnerabilidades también pusieron de relieve el papel creciente de la inteligencia artificial en la ciberseguridad.
Investigadores utilizaron herramientas de IA para examinar código, encontrar comportamientos anómalos y comprobar cómo podían aprovecharse los fallos. Estas capacidades permiten revisar grandes cantidades de código y detectar patrones que podrían pasar inadvertidos en una revisión convencional.
Sin embargo, el descubrimiento de una vulnerabilidad no garantiza que su corrección pueda desplegarse de inmediato. La infraestructura digital es heterogénea y muchos administradores necesitan comprobar que una actualización no afecte el funcionamiento de sus aplicaciones antes de instalarla.
En este caso, una de las fallas había sido identificada durante una revisión de seguridad en 2024, pero entonces no se había encontrado una vía clara para explotarla. La nueva investigación permitió comprender mejor el riesgo y acelerar la necesidad de corregir el problema.
La Fundación PHP reconoció que hubo retrasos en la atención de una de las vulnerabilidades, lo que reabrió el debate sobre los recursos disponibles para mantener componentes de código abierto que son esenciales para servicios utilizados a escala mundial.
¿Qué deben hacer los administradores de sitios web?
Las agencias de ciberseguridad recomiendan identificar de inmediato los sistemas que utilizan PHP, priorizar los servidores accesibles desde internet e instalar las versiones corregidas. Los parches publicados corresponden a PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
También es necesario comprobar si otros productos o dispositivos incorporan PHP internamente, incluso cuando sus operadores no lo utilizan de manera directa. Las actualizaciones de esos componentes pueden depender de cada proveedor.
Si un sistema expuesto no puede actualizarse de inmediato, las autoridades recomiendan considerar su aislamiento temporal de las redes públicas hasta que pueda corregirse. También aconsejan revisar los registros de actividad para detectar accesos no autorizados o señales de que el servidor pudo haber sido comprometido.
La alerta no implica que todos los sitios que utilizan PHP hayan sido atacados ni que la información de sus usuarios esté automáticamente expuesta. El desenlace dependerá de la versión instalada, las medidas de protección y la rapidez con que se apliquen las actualizaciones.
El episodio, no obstante, muestra cómo una falla en un componente ampliamente utilizado puede convertirse en un problema internacional y por qué mantener actualizado el software es una parte esencial de la seguridad de internet.
