El equipo de seguridad de PHP publicó parches de emergencia para corregir dos vulnerabilidades que pueden permitir ataques contra servidores sin necesidad de una contraseña. La actualización es clave para reducir el riesgo.
BUENOS, AIRES, 21 de octubre de 2026 (MI PERIÓDICO).- Dos fallas críticas en PHP encendieron una alerta de ciberseguridad este miércoles 21 de octubre. El equipo responsable de este lenguaje de programación publicó parches de emergencia para corregir vulnerabilidades que podrían permitir a un atacante ejecutar código en un servidor sin necesidad de identificarse.
El problema importa porque PHP es una tecnología utilizada para hacer funcionar numerosos sitios web y aplicaciones. Por eso, una vulnerabilidad en su funcionamiento interno puede representar un riesgo para los servicios que todavía no instalaron las correcciones correspondientes.
Sin embargo, la existencia de estas fallas no significa que todos los sitios estén comprometidos ni que se hayan producido ataques contra cada página que utiliza PHP.
¿Qué pasó con las dos fallas de seguridad?
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS 4.0.
La primera está relacionada con un error en el manejo de la memoria cuando se agotan los recursos disponibles. La segunda puede provocar que el sistema utilice información interna que ya no debería estar disponible.
En determinadas condiciones, estos problemas pueden abrir la puerta a la ejecución remota de código. Esto significa que un atacante podría conseguir que un servidor ejecute instrucciones sin contar con una cuenta o contraseña válida.
El equipo de seguridad de PHP señaló que el riesgo es especialmente elevado en determinadas instalaciones de Apache que utilizan mod_php, donde se demostró una vía de ataque que puede activarse antes de que se ejecute el código del sitio.
¿Qué sitios pueden estar en riesgo?
Las vulnerabilidades afectan a distintas instalaciones de PHP que reciben solicitudes a través de internet. Entre ellas hay configuraciones utilizadas por sitios web y aplicaciones que funcionan con diferentes servidores.
Esto no significa que cualquier página pueda ser atacada automáticamente. El riesgo concreto depende de la versión instalada, la configuración y la aplicación de las correcciones de seguridad.
Los sitios creados con WordPress también merecen atención si utilizan una versión vulnerable de PHP. WordPress es el sistema que permite administrar muchas páginas web, pero su seguridad también depende de la tecnología que utiliza el servidor donde está alojado.
PHP ya publicó las actualizaciones de emergencia
El equipo de desarrollo publicó versiones corregidas para las principales ramas con soporte incluidas en el aviso:
- PHP 8.5.12.
- PHP 8.4.27.
- PHP 8.3.36.
- PHP 8.2.35.
La recomendación oficial es actualizar cuanto antes. Los proveedores de alojamiento y los servicios técnicos deben comprobar qué corrección corresponde a cada instalación.
Las versiones antiguas pueden tener una situación diferente: algunos proveedores mantienen sus propios parches de seguridad, aunque el proyecto principal ya no publique actualizaciones regulares para esas ramas.
¿Qué pasa con la carga de imágenes en algunos sitios?
El aviso de seguridad también contempla los riesgos relacionados con las solicitudes que incluyen archivos y formularios. Por eso, entre las medidas temporales para reducir la exposición, se mencionan límites al tamaño de los envíos y a la cantidad de partes que puede contener una solicitud.
Estos ajustes pueden afectar la carga de archivos si se aplican de manera restrictiva, aunque el comunicado no afirma que las dos vulnerabilidades provoquen por sí mismas que los sitios dejen de aceptar imágenes. La prioridad sigue siendo instalar las actualizaciones de seguridad correspondientes.
¿Qué significa esta alerta para los usuarios?
Para quienes navegan por internet, la noticia no significa que deban dejar de utilizar todos los sitios web ni que sus contraseñas hayan quedado expuestas automáticamente.
La advertencia apunta principalmente a la seguridad de los servidores que todavía no corrigieron las vulnerabilidades. Si un sitio utiliza una instalación vulnerable y un atacante consigue explotarla, las consecuencias dependerán de los permisos y recursos a los que pueda acceder.
Los usuarios pueden mantener precauciones habituales: utilizar contraseñas únicas, activar la verificación en dos pasos cuando esté disponible y desconfiar de mensajes o enlaces sospechosos. Estas medidas ayudan a proteger las cuentas, aunque no sustituyen la corrección de una vulnerabilidad del servidor.
El equipo de PHP advirtió que las medidas temporales no ofrecen una protección completa. Por eso, la actualización de los sistemas afectados es la respuesta principal frente a esta alerta.
Fuente: equipo de seguridad de PHP, comunicado oficial del 21 de octubre de 2026.