BARCELONA — Dos vulnerabilidades críticas en el núcleo de PHP, el lenguaje utilizado por millones de páginas web, han obligado a administradores y organismos públicos a activar medidas urgentes de ciberseguridad. Los fallos, agrupados bajo el nombre PHP2Shell, permiten en determinadas condiciones ejecutar código de forma remota sin necesidad de iniciar sesión. El equipo de PHP publicó el miércoles 21 de octubre actualizaciones de emergencia para corregirlos.
Dos fallos con una gravedad de 9,2 sobre 10
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 han recibido una puntuación de 9,2 en la escala CVSS 4.0. Están relacionadas con errores en la gestión de memoria y del estado interno de PHP. Su explotación podría permitir a un atacante ejecutar instrucciones con los permisos del proceso del servidor web o acceder a información sensible.
El problema afecta a instalaciones que utilizan PHP para atender peticiones web, incluidas infraestructuras sobre las que funcionan gestores de contenidos como WordPress, Drupal o Joomla. No significa que todas esas páginas hayan sido atacadas o comprometidas: el riesgo depende de la versión instalada, la configuración y la exposición del servidor.
Actualizaciones urgentes y servicios aislados
Las versiones que incorporan las correcciones son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, o posteriores dentro de cada rama. PHP 8.1 y las versiones anteriores han llegado al final de su soporte oficial y requieren migrar a una rama mantenida.
La alerta provocó el aislamiento preventivo de servicios web mientras se preparaban las actualizaciones. El centro de ciberseguridad del sistema sanitario público británico calificó de muy probable la futura explotación de estos fallos y recomendó actualizar de inmediato. El centro nacional de ciberseguridad neerlandés también advirtió de la existencia de pruebas públicas de explotación.
Qué deben comprobar las empresas
Los responsables de portales, comercios electrónicos y aplicaciones empresariales deben identificar qué versión de PHP ejecutan realmente sus servidores y aplicar los parches del fabricante o de su proveedor de alojamiento. Actualizar únicamente WordPress o sus complementos no sustituye la corrección del motor PHP. Si no es posible instalarla de inmediato, los equipos técnicos deben evaluar medidas temporales de aislamiento.
El incidente afecta a un componente básico de la infraestructura digital utilizada por empresas, administraciones y medios de comunicación. Las autoridades recomiendan comprobar también los registros de actividad para detectar posibles accesos anómalos, sin dar por hecho que una instalación vulnerable haya sufrido una intrusión.
