ANÁLISIS
Las agencias de Seguridad de todo el mundo lanzan una advertencia pública global que lleva al cierre de sitios webs oficiales
La NSA y agencias europeas de ciberseguridad urgen a actualizar PHP o retirar de internet los sistemas vulnerables, después de que dos vulnerabilidades de ejecución remota de código fueran detectadas con ayuda de inteligencia artificial y su información se filtrase antes de la publicación oficial de los parches.
Administraciones públicas y empresas de varios países desconectaron este miércoles sus páginas web como medida preventiva tras la divulgación de dos vulnerabilidades críticas en PHP, el lenguaje de programación de código abierto que sostiene una parte muy amplia de la web. Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir a un atacante ejecutar código en servidores afectados sin necesidad de credenciales.
La Agencia de Seguridad Nacional (NSA) instó a las organizaciones que utilizan PHP a preparar de inmediato la actualización y, si no resulta posible aplicar el parche, a mantener los sistemas fuera de línea hasta que puedan mitigarse por completo. Según la agencia, estas vulnerabilidades pueden ofrecer “una vía directa” al sistema de archivos o a la base de datos del servidor.
Qué son los fallos
La PHP Foundation publicó el miércoles las versiones corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Ambas vulnerabilidades están relacionadas con la gestión de memoria y el tratamiento de errores fatales del lenguaje y pueden derivar en ejecución remota de código (RCE), una de las categorías de fallos más graves en seguridad informática.
La primera, CVE-2026-109618, se produce cuando una petición alcanza el límite de memoria de PHP en un momento concreto y deja datos internos parcialmente inicializados que el sistema puede tratar después como válidos. La segunda, CVE-2026-109619, puede dejar el estado global apuntando a memoria ya liberada, lo que un trabajador posterior podría reutilizar de forma maliciosa.
La PHP Foundation asignó a cada fallo una puntuación CVSS v4.0 de 9,2 sobre 10. La organización advierte de que todas las instalaciones de PHP que sirven peticiones web están potencialmente expuestas, incluidas configuraciones con Apache y mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed.
Una alerta de alcance global
La magnitud del problema radica en la extensión de PHP: el lenguaje impulsa aproximadamente el 70% de los sitios cuyo lenguaje de servidor puede identificarse, según el rastreador W3Techs, y está detrás de plataformas como WordPress, Drupal, Joomla o Magento.
Palo Alto Networks’ Unit 42 identificó más de 22,6 millones de instancias expuestas a internet que podrían ser vulnerables.
Wiz Research, la empresa de ciberseguridad en la nube propiedad de Alphabet, aseguró haber demostrado en pruebas controladas la ejecución remota de código sin autenticación en instalaciones de WordPress, Drupal y Joomla. Los investigadores también afirmaron haber podido acceder a información sensible almacenada en la memoria del proceso PHP, como contraseñas, tokens de autenticación, claves de API y certificados.
Cloudflare indicó que estaba detectando “ataques tempranos” y desplegó reglas temporales en su cortafuegos de aplicaciones web para bloquear los vectores de explotación conocidos. La compañía subrayó, no obstante, que esas medidas son un paliativo y no sustituyen la instalación del parche oficial.
La IA, en el origen del hallazgo
Las vulnerabilidades fueron reportadas en agosto. La firma de seguridad Calif detectó una de ellas mediante el modelo GPT-5.6 Sol de OpenAI, en el marco del programa Patch the Planet; OpenAI comunicó de forma independiente el mismo día el mismo problema de raíz, mientras que Wiz reportó el 24 de agosto la segunda vulnerabilidad y posteriormente nuevas vías de explotación.
OpenAI calificó el hallazgo como "uno de los problemas de seguridad de mayor impacto de los últimos tiempos" y afirmó que demuestra una nueva fase en la que la inteligencia artificial puede identificar fallos con consecuencias a escala de internet. La compañía también advirtió de que esas mismas capacidades podrían acelerar el desarrollo de herramientas ofensivas por parte de actores maliciosos.
El fallo principal llevaba presente en el código unos 14 años, según explicó en X el presidente de OpenAI, Greg Brockman. Una versión limitada del problema había sido detectada en 2024, pero la PHP Foundation reconoce que la falta de recursos y las dificultades para elegir una solución compatible retrasaron la corrección, un fallo organizativo que la propia fundación describe como “estructural”.
Una filtración adelantó la emergencia
La divulgación coordinada se truncó dos días antes de la fecha prevista. El 20 de octubre comenzaron a circular en foros y redes sociales los identificadores de las dos vulnerabilidades, con una puntuación de gravedad incorrecta —10,0 en lugar de 9,2— y sin detalles técnicos.
La PHP Foundation adelantó entonces su anuncio y movió la publicación del parche del 22 al 21 de octubre a las 14:00 UTC. Horas antes de la publicación oficial, la empresa Chainguard rompió el embargo y distribuyó imágenes con la corrección, lo que, según la fundación, pudo permitir a atacantes analizar el arreglo antes de que la mayoría de administradores tuviera acceso a él.
Webs públicas fuera de servicio
En Francia, el Ministerio del Interior confirmó que varias webs de administraciones locales, entre ellas la Prefectura de Policía de París, quedaron inaccesibles desde la tarde del miércoles a petición de la Agencia Nacional de Ciberseguridad francesa, tras la detección de una vulnerabilidad crítica.
En Países Bajos, el servicio nacional de identidad digital DigiD, la web de la Cámara de Representantes y la del Centro Nacional de Ciberseguridad se desconectaron de forma preventiva, según la radiodifusora pública NOS. También se produjeron cortes preventivos en Finlandia, Dinamarca y Bélgica, mientras que organismos de ciberseguridad de Australia, Japón y Reino Unido recomendaron actualizar con urgencia o aislar los servicios expuestos.
Economía
Wall Street sufre su peor caída semanal por el aumento de la deuda tecnológica
Andrés Ignacio Henríquez
Qué deben hacer los administradores
La CISA, la principal agencia estadounidense de ciberseguridad, recomendó aplicar los parches, pero precisó que no había observado explotación de las vulnerabilidades en el momento de publicar su aviso.
Si la actualización inmediata no es viable, CERT-EU aconseja aislar de las redes públicas las aplicaciones basadas en PHP hasta poder aplicar la corrección. El Centro Australiano de Ciberseguridad añade que las organizaciones deben vigilar sus sistemas en busca de actividad sospechosa, aunque en el momento de su aviso no tenía constancia de explotaciones activas en Australia.
🛠 ¿Cree que hay algún error en esta noticia?
Recomendaciones
LO ÚLTIMO
