El equipo de desarrollo de PHP publicó cuatro actualizaciones de seguridad que corrigen dos vulnerabilidades críticas de ejecución remota de código (RCE, por sus siglas en inglés). Las versiones afectadas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12, todas ellas etiquetadas como “security” y disponibles desde el 21 de octubre. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, permiten a un atacante ejecutar código arbitrario en servidores que ejecutan versiones anteriores del lenguaje, lo que representa un riesgo significativo para sitios web y aplicaciones desarrolladas en PHP, especialmente en México y América Latina, donde esta tecnología es ampliamente utilizada en la infraestructura web.
Detalles de las vulnerabilidades
Los dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, han sido calificados como de ejecución remota de código, lo que significa que un atacante podría aprovecharse de ellos para tomar el control del servidor sin necesidad de autenticación previa. La base de datos OSV confirma que las cuatro versiones mencionadas son las que corrigen el problema. Hasta el momento, no se ha publicado un parche oficial para PHP 8.1 ni para versiones anteriores, lo que deja a los usuarios de esas ramas en una situación de vulnerabilidad sin solución oficial.
Explotación activa y recomendaciones
Diversas fuentes de seguridad han reportado intentos de explotación. La firma Rapid7 advirtió el 21 de octubre que se espera que pronto se haga público un exploit viable y que los ataques en la naturaleza ocurran, por lo que recomienda actualizar de inmediato. Por su parte, Tenable informó que Amazon Threat Intelligence observó un intento de explotación el 17 de octubre y otros más el 21 de octubre, aunque Amazon señaló que no está claro si esos intentos habrían tenido éxito en sistemas reales. Dado que los informes varían entre fuentes y cambian rápidamente, se recomienda consultar php.net y los avisos de su proveedor de hosting para conocer el estado actual.
¿Qué deben hacer los administradores de sistemas?
Si eres responsable de servidores o sitios web, es crucial verificar la versión de PHP que estás utilizando. Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Si tu instalación es anterior a cualquiera de estas, debes actualizar a la brevedad posible. Para facilitar esta tarea, existen herramientas como una página gratuita donde puedes ingresar tu versión y verificar si está por encima de la versión corregida y cuándo finaliza el soporte de su rama. Sin embargo, esta herramienta solo compara el número ingresado y no escanea ni protege nada. Para agencias con múltiples sitios, también hay kits de hojas de cálculo y correo electrónico de pago, aunque se aclara que ambos son del mismo autor.
Impacto en México y Latinoamérica
PHP es uno de los lenguajes de programación más utilizados en el desarrollo web en México y América Latina, impulsando desde pequeños sitios hasta grandes plataformas de comercio electrónico. La existencia de vulnerabilidades críticas sin parchear en versiones antiguas representa un riesgo considerable para la seguridad de los datos y la continuidad de los negocios. Se recomienda a las empresas y desarrolladores revisar sus entornos, aplicar las actualizaciones disponibles y considerar la migración a versiones con soporte activo.
Conclusión
La publicación de estas actualizaciones de seguridad es un recordatorio de la importancia de mantener el software actualizado. Con dos fallos críticos que permiten la ejecución remota de código y evidencia de intentos de explotación, la actualización inmediata es la mejor defensa. Verifica tu versión de PHP y asegúrate de estar utilizando una de las versiones corregidas. Mantente atento a los avisos oficiales para cualquier novedad.