MUNDO — 21 de octubre de 2026. El equipo de PHP publicó actualizaciones de emergencia para corregir dos vulnerabilidades críticas que pueden permitir que un atacante ejecute código en un servidor sin autenticarse. Las fallas están identificadas como CVE-2026-109618 y CVE-2026-109619.
Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El aviso oficial advierte que están en riesgo las instalaciones de PHP que atienden solicitudes web, incluidas configuraciones con PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Según PHP, no existe una mitigación completa que sustituya la actualización.
La alerta ya tuvo efectos visibles. Reuters reportó que agencias y entidades públicas en Europa retiraron temporalmente varios portales mientras instalaban los parches. Entre las medidas preventivas estuvo la salida de línea del propio sitio de la agencia nacional de ciberseguridad de Países Bajos. Reino Unido, Australia y otras autoridades recomendaron actualizar de inmediato o aislar los sistemas que no puedan corregirse todavía.
Que un portal haya sido desconectado no significa, por sí solo, que fue atacado. Parte de las interrupciones fueron preventivas. Tampoco hay base para afirmar que todos los sitios construidos con WordPress u otras plataformas estén comprometidos: el riesgo depende de la versión y configuración de PHP que utilice el servidor.
Para dueños y administradores de páginas, la prioridad es identificar qué versión de PHP corre en cada sistema expuesto a internet, aplicar la actualización correspondiente y revisar registros en busca de actividad inusual. Si no es posible parchear de inmediato, el Centro Nacional de Seguridad Cibernética británico recomienda considerar sacar el sistema de línea hasta completar la corrección.
Para usuarios comunes, no hay una actualización del navegador que resuelva este problema. Conviene desconfiar de mensajes que aprovechen posibles interrupciones para pedir contraseñas o pagos.
Fuentes: PHP.net — https://www.php.net/ ; NCSC del Reino Unido — https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php ; Reuters — https://www.reuters.com/world/asia-pacific/eu-agency-warns-websites-may-need-be-taken-offline-php-prepares-patches-2026-10-21/
Comunidad
Debate ideas sin ataques personales.
Sé el primero en comentar.