Dos vulnerabilidades críticas en PHP requieren revisar la seguridad de las webs y aplicaciones empresariales
Las empresas deben contactar con sus responsables informáticos o proveedores de alojamiento para comprobar si sus servicios están afectados y aplicar las actualizaciones disponibles.
El proyecto PHP ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, que podrían permitir a un atacante ejecutar código malicioso en servidores vulnerables sin necesidad de autenticarse. La Comisión Europea, ENISA, CERT-EU y otros organismos europeos han solicitado a las organizaciones que actúen de inmediato, dando prioridad a los sistemas accesibles desde internet.
PHP es una tecnología utilizada para el funcionamiento de numerosas páginas web y aplicaciones. Por ello, esta alerta puede resultar relevante para empresas de cualquier tamaño, tanto si gestionan sus propios servidores como si tienen contratados sus servicios digitales con un proveedor externo.
Los fallos afectan a la gestión de memoria y de errores de PHP. En determinadas condiciones, pueden permitir la ejecución de instrucciones no autorizadas en el servidor. Ambas vulnerabilidades han recibido una valoración de 9,2 sobre 10 en la escala de gravedad CVSS 4.0.
Para una empresa, un ataque de estas características podría traducirse en acceso no autorizado a información, alteración de contenidos o interrupciones del servicio, con consecuencias para su actividad y la confianza de sus clientes.
Actualizaciones ya disponibles
El 21 de octubre se publicaron las versiones corregidas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las empresas que utilicen paquetes proporcionados por una distribución de Linux o un proveedor de mantenimiento deben comprobar si este ha incorporado las correcciones a sus propias actualizaciones.
El aviso incluye instalaciones que utilizan PHP-FPM y Apache con mod_php, entre otras configuraciones. Por tanto, utilizar PHP-FPM también requiere revisar y actualizar el entorno.
Qué deben hacer las empresas
Las autoridades recomiendan identificar las aplicaciones que utilizan PHP, coordinar la actuación con sus proveedores y aplicar los parches disponibles. Algunos productos incorporan esta tecnología internamente, por lo que conviene revisar también los avisos de sus fabricantes.
Como primera medida, las empresas pueden solicitar a su responsable informático o proveedor de alojamiento que:
Confirme qué webs y aplicaciones están afectadas.
Verifique que se han instalado las correcciones de ambas vulnerabilidades.
Revise los sistemas expuestos en busca de indicios de compromiso.
Determine las medidas temporales necesarias si la actualización no puede realizarse de inmediato.
El equipo de PHP advierte de que las mitigaciones temporales no ofrecen una protección completa. Si no es posible corregir un servicio expuesto, los organismos europeos recomiendan valorar su aislamiento de las redes públicas hasta poder aplicar la solución.
Para las empresas que tienen externalizada su web, el paso inmediato es contactar con su proveedor y solicitar confirmación de que el entorno PHP utilizado cuenta con las correcciones correspondientes.
