Dos vulnerabilidades críticas en PHP, el lenguaje de programación utilizado por millones de sitios web y plataformas digitales, encendieron las alertas de ciberseguridad debido a que pueden permitir la ejecución remota de código sin necesidad de autenticación.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619 y conocidos como PHP2Shell, fueron divulgados el 21 de octubre de 2026. Las vulnerabilidades pueden permitir que un atacante ejecute instrucciones en servidores que utilicen versiones afectadas del lenguaje.
Entre las plataformas potencialmente expuestas se encuentran sitios desarrollados con WordPress, Joomla! y Drupal, además de tiendas en línea, portales informativos y sistemas empresariales que funcionan sobre PHP. El alcance depende de la versión instalada y de la configuración del servidor.
Una explotación exitosa podría permitir el acceso no autorizado a información sensible, la modificación de archivos o el uso del servidor comprometido para realizar otras actividades maliciosas.
Publican actualizaciones para corregir los fallos
El equipo de desarrollo de PHP publicó actualizaciones de seguridad el 21 de octubre para corregir ambas vulnerabilidades. Las versiones que incluyen las soluciones son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las instalaciones anteriores deben actualizarse a una versión corregida compatible con su entorno.
Las recomendaciones para administradores de sistemas y sitios web incluyen:
- Actualizar PHP de inmediato a una versión corregida y reiniciar los procesos o servicios que utilizan el lenguaje.
- Revisar el entorno de alojamiento, incluidos los servidores web y las aplicaciones que dependen de PHP.
- Consultar al proveedor de hosting si las actualizaciones se administran desde el servicio contratado.
- Aislar temporalmente los servidores vulnerables si no es posible instalar una corrección con rapidez y el riesgo lo justifica.
Las versiones PHP 8.1 y anteriores ya no reciben actualizaciones directamente del proyecto, aunque algunos proveedores mantienen sus propias correcciones. Por ello, es necesario revisar las recomendaciones específicas del proveedor y planificar la migración a una versión compatible.
¿Cómo afecta a los usuarios de Internet?
Los usuarios no necesitan instalar un parche en sus computadoras o teléfonos, ya que la vulnerabilidad afecta a los servidores. Sin embargo, podrían experimentar interrupciones en sitios web o quedar expuestos a filtraciones de datos si una plataforma que utilizan resulta comprometida.
La prioridad para las organizaciones es identificar las instalaciones afectadas y aplicar las correcciones de seguridad para reducir el riesgo de intrusiones.
