Dos vulnerabilidades críticas permiten ejecutar código en servidores sin autenticación. PHP publicó parches de seguridad el 21 de octubre para corregirlas.
Imagen referencial sobre alerta de seguridad
Captura de videoDos vulnerabilidades críticas en PHP, una tecnología ampliamente utilizada para desarrollar sitios web, provocaron la desconexión preventiva de páginas de organismos públicos y otros servicios digitales en Europa.
Los fallos podrían permitir a un atacante ejecutar código en servidores vulnerables sin necesidad de autenticarse, por lo que las autoridades de ciberseguridad recomendaron instalar las actualizaciones disponibles o aislar temporalmente los sistemas expuestos.
El equipo de seguridad de PHP publicó el miércoles 21 de octubre de 2026 actualizaciones para corregir ambas vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619. Las dos recibieron una puntuación de 9,2 sobre 10 en la escala CVSS 4.0, que mide la gravedad de los fallos informáticos.
El problema, conocido como PHP2Shell, no está limitado a una aplicación o a un complemento específico. Afecta a instalaciones de PHP que procesan solicitudes web, aunque el nivel de riesgo depende de la configuración utilizada.
En Países Bajos, varios sitios de organismos públicos fueron desconectados preventivamente, entre ellos Overheid.nl, MijnOverheid.nl y DigiD. La decisión se tomó ante la posibilidad de ataques mientras se esperaba la publicación de las correcciones.
El Centro Nacional de Ciberseguridad de Países Bajos indicó inicialmente que no tenía señales de explotación activa de las vulnerabilidades, aunque recomendó evaluar el riesgo y retirar temporalmente de internet los sitios que pudieran estar expuestos.
La medida también alcanzó servicios públicos de Finlandia y páginas de organismos de otros países europeos. Se reportaron interrupciones en servicios gubernamentales y otras plataformas digitales, en un contexto marcado por la publicación de información sobre posibles intentos de explotación.
PHP es un lenguaje de programación utilizado para procesar solicitudes, generar contenido dinámico y conectar aplicaciones web con bases de datos. También es una tecnología habitual en sistemas de gestión de contenidos como WordPress, Drupal y Joomla.
Las vulnerabilidades PHP2Shell pueden permitir la ejecución remota de código, una técnica mediante la cual un atacante consigue ejecutar instrucciones en un servidor a través de solicitudes especialmente diseñadas. Según los permisos disponibles, esto podría facilitar el acceso a información, la modificación de archivos u otras acciones sobre el sistema afectado.
La extensión del uso de PHP explica la preocupación por el alcance potencial de estos fallos. Las mediciones de W3Techs sitúan su presencia en aproximadamente el 75% de los sitios web cuya tecnología de servidor puede identificarse.
El equipo de seguridad publicó actualizaciones para cuatro ramas de PHP el 21 de octubre. Las versiones correctivas son:
Los administradores deben actualizar a la versión corregida correspondiente a su instalación. En servidores administrados por proveedores de alojamiento o distribuciones Linux, es necesario comprobar la disponibilidad del paquete de seguridad específico y confirmar que la actualización se haya aplicado.
Las versiones PHP 8.1 y anteriores ya no reciben actualizaciones directamente del proyecto PHP. Algunos proveedores de soporte prolongado pueden distribuir correcciones adaptadas para esas ramas, por lo que los responsables deben consultar sus canales oficiales o migrar a una versión compatible y corregida.
La recomendación principal es instalar el parche cuanto antes. Si un sistema expuesto no puede actualizarse inmediatamente, debe evaluarse su aislamiento o desconexión temporal. Las medidas parciales de mitigación no sustituyen la instalación de una versión corregida.
El 21 de octubre, Cloudflare informó sobre la detección de los primeros intentos de ataque asociados a los fallos y comunicó la implementación de reglas de protección en su cortafuegos de aplicaciones web.
La prioridad para los administradores es identificar los sistemas que utilizan PHP, comprobar su exposición y aplicar las actualizaciones. La revisión debe incluir también instalaciones gestionadas por terceros, donde la versión activa del lenguaje puede ser distinta de la que utiliza el sistema de gestión de contenidos.
