Dos vulnerabilidades detectadas en una tecnología utilizada por millones de páginas podían permitir que atacantes ejecutaran código en servidores sin necesidad de autenticarse. El equipo de PHP publicó actualizaciones de seguridad y organismos internacionales recomendaron aplicarlas de inmediato.
El lenguaje de programación PHP quedó en el centro de una alerta internacional de ciberseguridad luego de que se identificaran dos vulnerabilidades críticas que podían permitir el control remoto de servidores afectados.
Los errores, identificados como CVE-2026-109618 y CVE-2026-109619, fueron corregidos mediante actualizaciones publicadas el miércoles 21 de octubre. La gravedad de las fallas fue calificada con 9,2 puntos sobre 10, por su potencial para permitir la ejecución de código malicioso sin usuario ni contraseña.
La situación llevó a organismos de ciberseguridad y administradores de sistemas de distintos países a recomendar actualizaciones urgentes. Algunos servicios públicos y plataformas digitales también adoptaron medidas preventivas para reducir su exposición.
Qué es PHP y para qué se utiliza
PHP es un lenguaje de programación que funciona principalmente en los servidores y permite crear páginas web dinámicas. Se utiliza para procesar información, consultar bases de datos, gestionar usuarios y generar contenidos que luego aparecen en el navegador.
Está presente en sistemas de gestión de contenidos como WordPress, Joomla! y Drupal, además de portales informativos, tiendas en línea, plataformas educativas y sitios institucionales.
Por ejemplo, cuando una persona ingresa a un diario digital, PHP puede intervenir en la búsqueda de una noticia y en la preparación del contenido que se muestra en pantalla. El visitante no necesita instalar el lenguaje en su computadora o teléfono: su funcionamiento ocurre en la infraestructura que sostiene el sitio.
Qué podían hacer las vulnerabilidades
Las dos fallas permitían, bajo determinadas condiciones, que un atacante enviara solicitudes especialmente preparadas para conseguir que un servidor ejecutara instrucciones maliciosas.
Un acceso de ese tipo puede facilitar el robo o la modificación de información, la alteración de archivos y la interrupción de servicios. El riesgo depende de la versión instalada, la configuración y las medidas de seguridad aplicadas.
Esto no significa que todos los sitios que utilizan PHP hayan sido vulnerados. La exposición afecta a las instalaciones vulnerables que procesan solicitudes web y requiere una evaluación técnica de cada sistema.
Qué medidas se recomendaron
El equipo oficial de PHP publicó versiones corregidas para las ramas mantenidas del lenguaje: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La actualización es la medida indicada para corregir estas vulnerabilidades; si un servidor expuesto no puede actualizarse de inmediato, se recomienda aislarlo temporalmente de internet.
Las organizaciones deben verificar qué versiones utilizan, coordinar las correcciones con sus proveedores de alojamiento y comprobar si existen indicios de accesos no autorizados. Las versiones antiguas que ya no reciben soporte requieren una estrategia de migración o soluciones de seguridad proporcionadas por su distribuidor.
Qué deben saber los usuarios
Quienes solamente navegan por internet no necesitan instalar una actualización de PHP en sus dispositivos. La responsabilidad de corregir el problema corresponde a los administradores de los servidores y a los proveedores de los servicios afectados.
Como precaución, se recomienda desconfiar de mensajes que aprovechen la noticia para solicitar contraseñas, códigos de verificación o datos bancarios. Si una plataforma informa oficialmente que necesita una acción de sus usuarios, conviene verificar el aviso desde sus canales habituales.
La alerta vuelve a poner de relieve la importancia de mantener actualizados los componentes tecnológicos que sostienen sitios web, especialmente aquellos que procesan información sensible o permanecen conectados a internet.
Fuente: Infobae / PHP.net / organismos internacionales de ciberseguridad.
Publica: Te Informamos Concordia
#Tecnología #Ciberseguridad
Deja una respuesta