Dos fallos críticos de PHP ponen en alerta a Internet
Por qué debe importarte si eres pyme o autónomo en el sector tech
Si tu negocio online, tu tienda de comercio electrónico o tu página web corporativa utilizan PHP (Hypertext Preprocessor), lo que viene a continuación te concierne de manera urgente. PHP es el lenguaje de programación más empleado en el desarrollo web, presente en alrededor del 70 % de los sitios en Internet (https://apnews.com/article/38d37c4c18bf8355b02d85b5a73ed642). Dos fallos altamente graves han sido identificados, con una puntuación de 9,2 en la escala CVSS (Common Vulnerability Scoring System) v4.0, lo cual los sitúa en la categoría de “críticos” (https://www.gub.uy/centro-nacional-respuesta-incidentes-seguridad-informatica/comunicacion/noticias/vulnerabilidades-criticas-php).
Estos errores afectan a funcionalidades básicas del núcleo de PHP y permiten a atacantes ejecutar código remoto sin autenticación. En la práctica, podrían acceder a tus servidores o modificar tus contenidos sin que lo detectes a tiempo. Por ello, la Fundación PHP ha instado a aplicar los parches de forma inmediata (https://apnews.com/article/38d37c4c18bf8355b02d85b5a73ed642).
Contexto y detalles técnicos de los fallos
El anuncio oficial se realizó el 20 de octubre de 2026, cuando el equipo de seguridad de PHP advirtió que el martes siguiente —el 21 de octubre a las 14:00 UTC— se publicaría una actualización de emergencia para resolver los fallos identificados como CVE‑2026‑109618 y CVE‑2026‑109619 (https://discourse.thephp.foundation/t/announce-upcoming-critical-php-security-release/6251). Ambas fallan fueron calificadas con 9,2 sobre 10 en la escala CVSS v4.0 (https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote)
- CVE‑2026‑109618 (OOM Corruption): se aprovecha de cómo PHP gestiona errores de falta de memoria (out‑of‑memory). La limpieza posterior puede interpretar datos incompletos como válidos, causando corrupción de memoria y ejecución de código malicioso (https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote).
- CVE‑2026‑109619 (Stale Global State): se trata de un use‑after‑free. Restos de estado global de una petición anterior pueden ser reutilizados por un trabajador para ejecutar código malicioso en una petición posterior (https://www.zaproxy.org/docs/desktop/addons/passive-scan-rules/php-known-vulnerabilities/).
Estas vulnerabilidades afectan a todas las instalaciones que atienden peticiones web: PHP‑FPM, Apache con mod_php, php‑cgi, FrankenPHP, LiteSpeed, etc. (https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote). La denominación informal del conjunto es PHP2Shell (https://es.wikipedia.org/wiki/PHP2Shell).
Implicaciones prácticas para pequeñas empresas y autónomos
Las explotaciones de este tipo de fallos permiten a atacantes ejecutar código en tus servidores sin necesidad de credenciales. Esto significa que podrían insertar puertas traseras, instalar malware, modificar tu web o robar información. La escala del problema es amplia: muchas webs, desde portals estándar hasta WordPress, Drupal, PrestaShop o Moodle, pueden haber estado afectadas gub.uy
Organismos como CISA (agencia estadounidense de ciberseguridad) han lanzado alertas urgentes para corregir estas vulnerabilidades o, si no es posible, aislar los sistemas afectados hasta aplicar la solución (https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42ff5ac). En Europa y otros países, varios CERT nacionales han emitido avisos similares elpais.com
Pasos recomendados para proteger tu sitio web
Recomendamos seguir los pasos siguientes para minimizar riesgos y restablecer la seguridad:
- Identifica los sistemas que usan PHP: comprueba servidores, hostings y componentes que puedan estar ejecutando PHP vulnerable content.govdelivery.com
- Actualiza a versiones parcheadas: las versiones que corrigen los fallos son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42ff5ac).
- Si no puedes actualizar de inmediato: restringe temporalmente el acceso desde Internet, utiliza firewalls de aplicaciones web (WAF) o redes privadas, y monitoriza procesos sospechosos
content.govdelivery.com - Reinicia servicios tras actualizar: asegúrate de reiniciar PHP‑FPM, Apache, etc., porque de lo contrario los binarios antiguos podrían seguir operando reddit.com.
- Vigila indicadores de posible explotación: como shell inesperados, descargas no autorizadas, modificaciones de archivos o comportamientos extraños content.govdelivery.com
Conclusión
Estos dos fallos críticos en PHP —CVE‑2026‑109618 y CVE‑2026‑109619— constituyen una amenaza real para cualquier sitio web expuesto. Aplicar los parches oficiales disponibles desde el 21 de octubre de 2026 debe ser prioridad para garantizar la continuidad de tu actividad digital. Desde CADT Software, podemos ayudarte a revisar tu entorno, aplicar las actualizaciones y reforzar la seguridad de tus aplicaciones web. No dejes que una vulnerabilidad sin parche comprometa tu proyecto y ponte en contacto con nosotros para actuar con eficacia y rapidez.
