Un fallo crítico en el lenguaje PHP pone en riesgo webs de todo el mundo

El equipo de seguridad del ecosistema PHP ha informado sobre dos vulnerabilidades críticas que podrían permitir la ejecución remota de código (RCE), afectando a plataformas como WordPress, MediaWiki o Symphony, entre otros, lo que ha llevado a lanzar una actualización de seguridad urgente este miércoles y ha obligado a aislar sitios y aplicaciones web en todo el mundo de forma preventiva por seguridad.

PHP es un lenguaje de programación de código abierto que habitualmente se utiliza para crear sitios y aplicaciones web, así como para procesar formularios, gestionar sesiones o consultar bases de datos, por lo que está muy presente en internet y es utilizado ampliamente por los desarrolladores a nivel global.

En este marco, se han hallado dos vulnerabilidades de ejecución remota de código en el ecosistema PHP que, etiquetadas como CVE-2026-109618 y CVE-2026-109619, han alcanzado una puntuación de gravedad de 9.2 sobre 10 en la escala CVSS 4.0, lo que indica que son críticas.

Relacionado con este tema

"Amazon, Google y Microsoft proporcionan infraestructura tecnológica crítica al ejército israelí"

Emma Pons Valls

De cara a solucionar dichas vulnerabilidades, el equipo de PHP ha anunciado que lanzará una actualización de seguridad este miércoles 21 de octubre, al tiempo que ha instado a todos los usuarios de PHP a prepararse para poder actualizar "tan pronto como el lanzamiento esté disponible", como han compartido en un comunicado en su página oficial y en una publicación a través de la red social X.

Las vulnerabilidades han sido recogidas por la compañía de ciberseguridad watchTowr, que ha señalado que estas vulnerabilidades se conocen como "PHP2shell" y podrían permitir a los atacantes ejecutar su propio código en servidores afectados, tomando el control para alterar maliciosamente sitios web o robar datos.

Asimismo, los investigadores han indicado que ambas vulnerabilidades afectan a todas las versiones del lenguaje PHP, desde PHP 5 en adelante, aunque no se ha reportado ninguna explotación de dichos fallos.

En la práctica, estas vulnerabilidades apuntan a una parte amplia de internet. Sin ir más lejos, afecta a todos los sitios web de la plataforma WordPress, ya que todos funcionan en servidores que utilizan PHP, lo cual hace referencia al 40% de internet, como ha recogido la propia compañía en un comunicado en su blog, donde ha señalado que son los propietarios de los sitios web los que deberán actualizar PHP de forma manual.

De la misma forma, el Equipo de Respuesta a Emergencias Informáticas de la Unión Europea ha emitido un aviso sobre estas vulnerabilidades y la actualización prevista para solucionarlas. En él, ha recomendado que, aquellas organizaciones que no puedan implementar el parche inmediato, "deberían considerar aislar las aplicaciones orientadas a internet de las redes públicas hasta que haya una solución disponible".

Mientras, aplicaciones y sitios web han quedado aislados de forma preventiva a nivel global. Por ejemplo, al acceder a la página oficial de WordPress, en el momento de redactar esta noticia, aparece un mensaje informativo que indica que sus servicios no están disponibles temporalmente mientras aplican "medidas de mitigación para la vulnerabilidad PHP2Shell, para la que aún no hay parche".

Por su parte, el director tecnológico de Cloudflare, Dane Knecht, ha compartido en una publicación en X que ya han advertido "ataques tempranos" contra sitios PHP de la plataforma. Por lo que están implementando "mitigaciones a medida que aparecen nuevos vectores", hasta que esté disponible la actualización del equipo PHP.