— Agencias 22/10/2026
Dos vulnerabilidades críticas en PHP encendieron las alertas por los riesgos que representan para servidores, aplicaciones y redes conectadas.
La División Cibernética del Buró Federal de Investigación (FBI) alertó sobre dos vulnerabilidades críticas en PHP, identificadas el miércoles 21 de octubre, que podrían permitir a atacantes ejecutar código de forma remota en servidores vulnerables sin autenticarse. Las fallas obtuvieron una puntuación de 9.2 sobre 10 en la escala CVSS 4.0, por lo que el equipo de desarrollo recomendó instalar las versiones corregidas.
¿Qué es PHP y por qué es importante en Internet?
PHP es un lenguaje de programación de código abierto que se ejecuta principalmente en servidores y permite que los sitios web procesen información, consulten bases de datos, administren sesiones y generen contenido dinámico.
Mientras HTML define la estructura de una página, PHP procesa acciones que ocurren detrás de ella. Por ejemplo, cuando una persona inicia sesión, realiza una compra o publica un comentario, este lenguaje puede intervenir en el procesamiento de la solicitud.
Su uso es común en sistemas de administración de contenidos, tiendas en línea, portales informativos, blogs y plataformas conectadas a bases de datos.
Uno de los ejemplos más conocidos es WordPress, plataforma que utiliza PHP para el funcionamiento de numerosos sitios de noticias, páginas corporativas y blogs. Por esta razón, las vulnerabilidades en este lenguaje pueden representar un riesgo para los servicios que dependen de instalaciones afectadas.
¿Cuáles son las vulnerabilidades detectadas en PHP?
El equipo de desarrollo de PHP publicó el 21 de octubre avisos de seguridad sobre dos fallas críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de 9.2 sobre 10 en la escala CVSS 4.0, utilizada para evaluar la gravedad de vulnerabilidades informáticas.
La primera vulnerabilidad está relacionada con errores en el manejo de la memoria cuando PHP se queda sin recursos disponibles. En determinadas condiciones, el sistema puede interrumpir el procesamiento mientras algunos datos internos todavía no están completamente inicializados.
La segunda falla se relaciona con información interna que permanece asociada a un proceso después de que la memoria que ocupaba ya fue liberada. Esto puede provocar que el sistema intente utilizar datos que ya no debería considerar válidos.
En ambos casos, un atacante podría aprovechar las condiciones vulnerables para ejecutar código de forma remota sin necesidad de autenticarse previamente. Las consecuencias dependerían de los permisos del proceso afectado y podrían incluir el acceso o la modificación de información, así como la ejecución de programas maliciosos.
¿Qué sitios web están en riesgo por las fallas de PHP?
De acuerdo con los avisos oficiales, el riesgo alcanza a las instalaciones de PHP que procesan solicitudes web, incluidas las que funcionan mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de desarrollo señaló que el riesgo es especialmente alto en determinadas configuraciones de mod_php.
Aunque el texto original menciona interrupciones en sitios de Wikimedia, portales gubernamentales de Finlandia, Países Bajos y Escocia, así como páginas de la BBC, no se cuenta aquí con una confirmación independiente de que esas interrupciones hayan sido consecuencia directa de estas vulnerabilidades.
Por otra parte, el equipo de PHP publicó versiones corregidas para atender las fallas. Entre ellas se encuentran PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, por lo que recomendó actualizar las instalaciones afectadas.
¿Cómo proteger un servidor con PHP?
La recomendación principal es actualizar PHP a una versión corregida compatible con la instalación utilizada. El equipo de desarrollo advirtió que no existen medidas alternativas que sustituyan completamente la actualización para solucionar estas vulnerabilidades.
Los administradores de sitios web deben revisar la versión instalada, identificar los componentes que utilizan PHP y verificar que la actualización se haya aplicado correctamente. También es importante comprobar la configuración del servidor y mantener actualizados los demás componentes de las aplicaciones.
Hasta la información publicada en los avisos consultados, no se proporciona una cifra global confirmada de sitios afectados ni un recuento definitivo de sistemas comprometidos. Por ello, la existencia de las vulnerabilidades no significa que todos los sitios que utilizan PHP hayan sido atacados.
Instala la nueva aplicación de El Tiempo MX