Qué pasó

El proyecto PHP publicó el miércoles las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas, la CVE-2026-109618 y la CVE-2026-109619, según la PHP Foundation y el equipo de respuesta de las instituciones europeas, CERT-EU. Ambas pueden permitir a un atacante ejecutar código en un servidor a distancia y sin autenticarse. La agencia estadounidense de ciberseguridad, CISA, se refiere a ellas con el apodo de “php2shell”.

Según AP, la falla podría afectar a cerca del 70% de los sitios web del mundo, que usan PHP de una forma u otra.

Cómo funcionan, en pocas palabras

La primera falla aparece cuando una petición agota la memoria permitida justo en un momento delicado: PHP puede dejar datos a medio preparar y luego tratarlos como válidos, lo que corrompe la memoria. La segunda deja “restos” de una petición anterior que la siguiente puede reutilizar, explica la PHP Foundation. CERT-EU asigna a cada una una puntuación de gravedad de 9,2 sobre 10 y señala que afectan a toda instalación de PHP que atienda peticiones web, incluidos PHP-FPM, Apache con mod_php, FrankenPHP y LiteSpeed.

“Si usas PHP, es imprescindible que actualices ahora”, pidió la PHP Foundation.

Qué piden las autoridades

CISA instó a parchear de inmediato y, a quien no pueda hacerlo o use versiones sin soporte (PHP 8.1 o anteriores), a desconectar esos sistemas hasta actualizarlos. Dijo que al publicar su alerta no había observado ataques que aprovecharan las fallas. En Europa, la Comisión Europea, la agencia ENISA, CERT-EU, Europol y la red de equipos nacionales de respuesta firmaron una declaración conjunta con recomendaciones similares. CERT-EU advirtió de que ya circulan pruebas de concepto, lo que aumenta la probabilidad de ataques.

Una filtración adelantó el calendario

La PHP Foundation contó que los identificadores de las fallas empezaron a circular en foros y redes el martes 20 de octubre, con una hora de publicación y una puntuación erróneas, aunque sin detalles técnicos. Por eso adelantó un día la publicación de los parches, prevista inicialmente para el jueves 22.

Qué hacer

Las agencias recomiendan inventariar qué sistemas usan PHP (muchos productos lo llevan “por dentro”), aplicar las actualizaciones de la distribución o del proveedor y vigilar procesos sospechosos. Los centros de seguridad europeos remiten a una lista pública del NCSC de Países Bajos sobre programas de terceros afectados.