Dos fallas críticas amenazan la seguridad de miles de sitios web: qué tenés que saber y cómo protegerte

La filtración de información sobre dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios web, provocó una alerta de seguridad por el riesgo de ataques a servidores.

Las fallas podrían permitir que un atacante ejecute código malicioso sin necesidad de contar con una contraseña. Esto representa un peligro para sitios comerciales, plataformas digitales y sistemas que utilizan esta tecnología. El equipo de seguridad de PHP publicó el 21 de octubre actualizaciones para corregir ambos problemas y recomendó a los administradores de sitios web instalarlas de inmediato. 

La información sobre las vulnerabilidades se conoció antes de lo previsto, a raíz de una publicación anónima que rompió un acuerdo de divulgación coordinada entre investigadores. La empresa de ciberseguridad watchTowr confirmó que las fallas eran reales y que pudo reproducir una de ellas en un entorno de prueba. El objetivo del acuerdo era evitar la difusión anticipada de detalles que pudieran facilitar ataques antes de que estuvieran disponibles las correcciones.

La preocupación aumentó cuando Cloudflare informó que había detectado intentos tempranos de ataque contra sus clientes y que desplegó medidas de protección temporales. Las vulnerabilidades recibieron una calificación de 9,2 sobre 10 en la escala CVSS, que mide la gravedad de las fallas de seguridad informática. Sus identificadores son CVE-2026-109618 y CVE-2026-109619.

Por qué el problema alcanza a tantos sitios

PHP funciona detrás de plataformas populares como WordPress, Drupal, Joomla y Magento, además de tiendas virtuales, sistemas internos y herramientas de alojamiento. Una falla en un componente tan extendido puede comprometer sitios comerciales, servicios públicos y bases de datos con información de clientes.

El problema pertenece a la categoría de ejecución remota de código. En términos simples, un delincuente informático puede enviar una solicitud especialmente diseñada para que el servidor ejecute instrucciones que nunca autorizó su propietario.

El aviso técnico de PHP identificó dos causas distintas. Una está relacionada con errores de memoria cuando el sistema agota el límite asignado a una operación. La otra involucra información interna que permanece disponible después de liberar la memoria utilizada. En determinadas condiciones, ambas situaciones permiten un ataque sin iniciar sesión.

Qué versiones deben actualizarse

El equipo de seguridad de PHP difundió las correcciones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los responsables de infraestructura deben comprobar qué edición utilizan y aplicar el paquete correspondiente, ya sea mediante su proveedor de alojamiento o los canales oficiales de distribución.

La advertencia alcanza a instalaciones que atienden solicitudes web mediante tecnologías como PHP-FPM, Apache, LiteSpeed y FrankenPHP. El equipo de seguridad señaló un riesgo especialmente elevado para servidores con mod_php, donde pudo demostrar un ataque antes de que se ejecutara el código de la propia página.

Los sitios con PHP 8.1 o versiones anteriores enfrentan una dificultad adicional: esas ramas dejaron de recibir actualizaciones ordinarias del equipo de seguridad de PHP. Algunos proveedores ofrecen correcciones especiales para sistemas antiguos y PHP publicó adaptaciones mínimas para las ramas 7.4, 8.0 y 8.1. Aun así, la recomendación principal es migrar a una versión vigente.

El alcance preocupa especialmente a las empresas pequeñas que delegan el mantenimiento tecnológico. En esos casos, el dueño del sitio puede administrar sus contenidos sin controlar la versión del lenguaje que usa el servidor.

Cómo proteger una página web

La primera tarea consiste en identificar la versión de PHP a través del panel del alojamiento, del proveedor tecnológico o de los responsables de sistemas. Si corresponde, debe instalarse una de las cuatro ediciones corregidas y comprobar que el servidor funcione con ella.

También resulta conveniente hacer una copia de seguridad, revisar los registros de actividad y verificar que los sistemas de gestión de contenidos, extensiones y componentes estén actualizados. Estas precauciones ayudan a detectar incidentes y facilitan la recuperación ante problemas operativos, pero no solucionan por sí mismas las dos vulnerabilidades.

La prioridad recae ahora sobre proveedores de alojamiento, equipos técnicos y compañías que utilizan PHP en sus operaciones. El objetivo inmediato es verificar qué servidores siguen expuestos y aplicar las correcciones oficiales antes de que nuevas tentativas de ataque encuentren sistemas sin actualizar.

Si tu empresa utiliza PHP en sus sitios web o sistemas, en ROISA TECH SOLUTIONS podemos ayudarte a identificar si tu infraestructura está afectada, evaluar los riesgos e implementar las medidas necesarias para protegerla.

Contactanos.