Vulnerabilidades en PHP ponen en jaque a millones de sitios web

El 21 de octubre, el equipo a cargo de PHP emitió un aviso de seguridad advirtiendo sobre dos vulnerabilidades severas que podrían permitir a atacantes ejecutar código en servidores sin la necesidad de autenticación. Esta situación ha llevado a diversas organizaciones a revisar y actualizar sus sistemas.

Ante la gravedad del asunto, la Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a los administradores a actuar con rapidez. Aquellos que no puedan aplicar las correcciones de inmediato deberían considerar la opción de desconectar sus sistemas de internet para minimizar el riesgo de ataques.

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, permitirían el acceso no autorizado a archivos críticos y bases de datos de los servidores afectados. Esta situación podría derivar en el robo de información, alteración de datos y parálisis de servicios.

PHP, que significa PHP: Hypertext Preprocessor, es un lenguaje de programación crucial para la generación de contenido dinámico en una amplia variedad de plataformas como WordPress, Joomla! y Moodle. Es un componente esencial del funcionamiento de muchos sitios web.

La investigación sobre estas vulnerabilidades se inició el 30 de julio gracias a una auditoría de seguridad realizada por la empresa Calif. Los hallazgos fueron luego corroborados por otros expertos en ciberseguridad, lo que llevó a la rápida implementación de parches de seguridad por parte del equipo de PHP.

Recomendaciones para mitigar riesgos

1. Instalar las versiones corregidas de PHP: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
2. Si no se puede actualizar de inmediato, considerar desconectar el sistema de internet o aislarlo para reducir el riesgo.

Las actualizaciones de seguridad son imprescindibles para todos los administradores de servidores y plataformas digitales. Ignorar estos parches podría resultar en serias consecuencias para la seguridad de la información y la continuidad de los servicios en línea.