FBI alerta sobre dos fallas críticas en PHP que podrían comprometer servidores y páginas web

La División Cibernética del Negociado Federal de Investigaciones (FBI) alertó sobre dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en páginas y aplicaciones web, que podrían permitir a atacantes ejecutar código de forma remota y comprometer los sistemas afectados.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, son conocidas conjuntamente como PHP2Shell y tienen una puntuación de gravedad de 9.2 sobre 10. Su explotación podría permitir ejecutar instrucciones en un servidor sin necesidad de iniciar sesión.

El equipo de PHP explicó que el riesgo alcanza a las instalaciones que atienden solicitudes web, incluyendo servidores que utilizan PHP-FPM, Apache con mod_php y LiteSpeed. Los problemas están relacionados con el manejo de memoria y de información interna entre solicitudes.

Para corregir las vulnerabilidades, el 21 de octubre se publicaron las versiones PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los desarrolladores exhortaron a los administradores a actualizar de inmediato y advirtieron que las medidas temporales no ofrecen una solución completa.

CERT-EU también recomendó aplicar los parches con urgencia. Cuando no sea posible hacerlo inmediatamente, aconsejó considerar el aislamiento de las aplicaciones expuestas a internet hasta instalar y verificar la corrección.

Los propietarios de sitios deben coordinar con sus proveedores de alojamiento o personal de tecnología para confirmar que el PHP utilizado por cada página esté corregido. Algunos proveedores incorporan los parches en sus propios paquetes, por lo que también es necesario revisar su documentación de seguridad.