Equipo de Redacción – Noticias Latinas
El equipo responsable de la seguridad de PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de sitios web, anunció la publicación de actualizaciones de emergencia destinadas a corregir dos vulnerabilidades críticas que podrían permitir la ejecución remota de código sin necesidad de autenticación.
Las fallas recibieron una calificación de 9,2 sobre 10 en el sistema CVSS, utilizado internacionalmente para evaluar la gravedad de los problemas de ciberseguridad.
El anuncio oficial fue publicado el martes en el sitio de PHP, mientras que la distribución de los parches quedó programada para este miércoles 21 de octubre de 2026, a las 14:00 UTC.
La advertencia generó preocupación entre administradores de servidores, proveedores de alojamiento y especialistas en seguridad informática debido a la enorme presencia de PHP en la infraestructura de internet.
Este lenguaje se utiliza en plataformas como WordPress, Drupal, Joomla y Magento, además de numerosos sistemas de administración, aplicaciones empresariales y herramientas de alojamiento web.
De acuerdo con datos de la consultora W3Techs, PHP está presente en aproximadamente el 70% de los sitios web cuyo lenguaje de programación del servidor puede identificarse.
Por esa razón, una vulnerabilidad grave en sus componentes puede tener consecuencias sobre una cantidad considerable de servicios digitales.
Las vulnerabilidades podrían permitir el control remoto de servidores
El principal riesgo identificado por los investigadores es la posibilidad de que un atacante ejecute instrucciones directamente en un servidor vulnerable.
Esta modalidad, conocida como ejecución remota de código (RCE), puede permitir que una persona no autorizada consiga que un sistema procese órdenes maliciosas.
Según la información preliminar difundida por especialistas, las dos fallas podrían explotarse sin necesidad de contar previamente con una contraseña o una sesión iniciada.
La gravedad de este escenario radica en que un atacante podría intentar comprometer servidores accesibles desde internet, dependiendo de las condiciones específicas que hagan posible la explotación.
Sin embargo, al momento del anuncio, el equipo de PHP todavía no había informado públicamente qué componentes del lenguaje estaban afectados ni cuáles eran las configuraciones necesarias para activar las vulnerabilidades.
Los responsables del proyecto señalaron que esos detalles serían publicados junto con las actualizaciones de seguridad.
Por lo tanto, la existencia de PHP en un servidor no significa automáticamente que ese sistema pueda ser comprometido: el riesgo concreto dependerá de las versiones, componentes y condiciones técnicas que se identifiquen oficialmente.
Una filtración obligó a adelantar el anuncio de seguridad
La divulgación de las vulnerabilidades se produjo antes de lo previsto después de que información sobre las fallas apareciera públicamente.
La empresa de investigación en ciberseguridad watchTowr explicó en la red social X que los detalles debían difundirse originalmente el jueves 22 de octubre, como parte de un proceso de divulgación coordinada entre investigadores y responsables del software.
Sin embargo, una publicación anónima reveló información antes de la fecha acordada.
La filtración llevó a acelerar las comunicaciones y los preparativos para la distribución de los parches.
watchTowr confirmó que las vulnerabilidades eran reales y aseguró haber logrado reproducir una de ellas en un entorno controlado de pruebas.
No obstante, la compañía decidió mantener reservados los detalles técnicos para evitar facilitar posibles ataques antes de que los administradores pudieran instalar las correcciones.
Este tipo de coordinación busca reducir el intervalo durante el cual una vulnerabilidad es conocida públicamente, pero todavía no existe una solución disponible para los sistemas afectados.
Cloudflare advirtió sobre los primeros intentos de ataque
Las empresas de seguridad comenzaron a informar sobre la situación a medida que se conocían nuevos detalles.
La compañía Huntress indicó que, hasta el martes, no había identificado explotación de las vulnerabilidades en los sistemas de sus clientes.
Sin embargo, posteriormente surgieron advertencias sobre actividad potencialmente maliciosa.
Dane Knecht, director de tecnología de Cloudflare, informó a través de X que la empresa ya estaba observando “ataques tempranos” dirigidos contra sus clientes.
Ante ese escenario, Cloudflare implementó reglas automáticas de protección como medida preventiva.
Estas defensas buscan bloquear determinados patrones de tráfico sospechoso mientras los administradores preparan las actualizaciones oficiales.
Knecht aclaró que las medidas implementadas por la compañía no sustituyen la corrección del problema en el software afectado.
“Esto es solo un parche temporal. Actualicen apenas PHP libere la solución”, advirtió.
La diferencia entre las observaciones de Huntress y Cloudflare refleja que la detección de intentos de explotación puede variar según la infraestructura supervisada, los clientes analizados y el momento en que se realizan las mediciones.
Europa recomendó medidas excepcionales para los sistemas vulnerables
La gravedad atribuida a las fallas motivó advertencias de organismos oficiales de ciberseguridad.
El Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea (CERT-EU) recomendó que las organizaciones que no puedan instalar inmediatamente las actualizaciones evalúen medidas de aislamiento.
Entre las opciones mencionadas se encuentra desconectar temporalmente de internet los sistemas potencialmente afectados hasta completar la instalación del parche.
La recomendación está dirigida especialmente a organizaciones que administran infraestructura crítica o servicios cuya exposición podría representar consecuencias importantes.
También emitieron alertas el Centro Nacional de Ciberseguridad del Reino Unido y el organismo equivalente de Australia.
Las advertencias apuntan a reducir las posibilidades de explotación durante el período comprendido entre la divulgación de las fallas y la instalación efectiva de las correcciones.
La aplicación de medidas extraordinarias dependerá de la exposición y de las características de cada infraestructura.
Qué versiones de PHP recibirán las actualizaciones
Uno de los principales problemas señalados por los especialistas es la existencia de numerosos servidores que todavía utilizan versiones antiguas del lenguaje.
Según el anuncio, los parches estarán destinados a las ramas de PHP que continúan recibiendo mantenimiento de seguridad, comprendidas entre PHP 8.2 y PHP 8.5.
En cambio, las versiones PHP 5, PHP 7 y las primeras ramas de PHP 8 quedaron fuera del soporte oficial.
Esto significa que los administradores que continúen utilizando esas versiones no recibirán una corrección oficial dentro de las ramas antiguas.
Para reducir su exposición, deberán considerar la migración a una versión compatible y mantenida o aplicar medidas de aislamiento sobre los servidores que no puedan actualizarse.
La situación representa un desafío especialmente importante para organizaciones que dependen de aplicaciones antiguas, desarrolladas para versiones de PHP que ya no reciben mantenimiento.
En esos casos, actualizar el lenguaje puede requerir previamente adaptar componentes, extensiones y sistemas que no funcionan correctamente con versiones más recientes.
Casi 884.000 servidores podrían quedar sin parche oficial
La magnitud del problema fue reflejada en un análisis de la empresa de seguridad Mallory, elaborado a partir de información obtenida mediante el buscador de dispositivos y servicios conectados Shodan.
Según ese relevamiento, aproximadamente 884.000 servidores expuestos a internet utilizan versiones de PHP que no recibirán las nuevas actualizaciones oficiales.
La cifra muestra la persistencia de instalaciones antiguas en servicios accesibles públicamente.
Por otra parte, un informe de la empresa Censys, citado por el medio especializado Cybernews, señaló que solamente el 14% de los sitios públicos de WordPress tenía instalada la actualización más reciente disponible.
Aunque ambos relevamientos utilizan metodologías diferentes, sus resultados reflejan las dificultades que enfrentan numerosos administradores para mantener actualizados sus sistemas.
La situación puede volverse especialmente delicada cuando se divulgan vulnerabilidades que afectan componentes ampliamente utilizados.
Los investigadores advierten que, una vez publicado un parche, los atacantes pueden comparar las versiones anteriores y posteriores del software para identificar los cambios introducidos.
Ese procedimiento puede ayudar a descubrir qué parte del código era vulnerable y facilitar intentos de explotación contra servidores que permanezcan desactualizados.
WordPress, Drupal, Joomla y Magento dependen de PHP
La preocupación internacional también se relaciona con la presencia de PHP en algunos de los sistemas de gestión de contenidos y comercio electrónico más utilizados.
WordPress emplea PHP para ejecutar numerosas funciones del sitio, administrar contenidos y procesar solicitudes del servidor.
Lo mismo ocurre con plataformas como Drupal, Joomla y Magento, utilizadas para portales informativos, páginas institucionales, aplicaciones comerciales y tiendas digitales.
Además, numerosos paneles de administración de alojamiento web y aplicaciones internas dependen de este lenguaje, aunque esa característica no siempre resulte visible para los usuarios.
Sin embargo, la vulnerabilidad de un servidor no puede determinarse únicamente por el sistema de gestión de contenidos que utiliza.
Será necesario conocer las versiones específicas de PHP afectadas, las condiciones de explotación y la configuración de cada instalación.
Por ese motivo, las actualizaciones deberán realizarse teniendo en cuenta tanto las recomendaciones del proyecto PHP como las indicaciones de los proveedores de alojamiento y los responsables de cada aplicación.
Empresas de alojamiento y seguridad preparan recomendaciones para los administradores
Ante la publicación de las alertas, empresas relacionadas con el alojamiento y la protección de sitios web comenzaron a difundir orientaciones para identificar instalaciones potencialmente vulnerables.
Entre ellas se encuentran GoDaddy, proveedor de servicios de alojamiento y dominios, y Wordfence, especializado en seguridad para sitios desarrollados con WordPress.
Las recomendaciones iniciales se concentran en verificar qué versión de PHP utiliza cada servidor y preparar la instalación de las actualizaciones oficiales.
Los administradores también deberán comprobar que sus aplicaciones, extensiones y componentes sean compatibles con las versiones corregidas.
Hasta el momento del anuncio, las empresas mencionadas no habían presentado una solución alternativa capaz de reemplazar completamente los parches del proyecto PHP.
Las reglas de protección de tráfico y otras medidas preventivas pueden reducir determinados riesgos, pero no eliminan por sí mismas las vulnerabilidades existentes en el software.
Qué deben tener en cuenta los responsables de sitios web
La publicación de los parches obliga a los administradores a prestar atención a varios aspectos de sus sistemas.
El primero consiste en identificar la versión exacta de PHP instalada en el servidor y comprobar si corresponde a una rama que recibe actualizaciones de seguridad.
También resulta necesario consultar las comunicaciones oficiales del proyecto para determinar qué versiones contienen las correcciones.
En los servicios de alojamiento administrado, las actualizaciones pueden depender del proveedor, por lo que será importante verificar si las nuevas versiones fueron instaladas automáticamente o requieren una intervención del cliente.
Antes de modificar un entorno de producción, conviene disponer de respaldos y comprobar la compatibilidad de las aplicaciones que dependen de PHP.
Los sistemas que utilizan versiones sin soporte requieren especial atención, debido a que no contarán con una solución oficial para esas ramas.
En situaciones donde no sea posible actualizar inmediatamente, los responsables deberán evaluar medidas temporales de protección y reducción de la exposición.
PHP publicará los detalles técnicos junto con las correcciones
El equipo de seguridad del lenguaje anunció que la distribución de las actualizaciones estará acompañada por información adicional sobre las vulnerabilidades.
Esa documentación permitirá identificar los componentes afectados, las versiones concretas que presentan el problema y los números correspondientes a las versiones corregidas.
Hasta el cierre de la información inicial, esos datos todavía no habían sido confirmados oficialmente.
La divulgación será determinante para que empresas, administradores de sistemas y proveedores de alojamiento puedan evaluar con precisión el alcance de las fallas.
Mientras tanto, las advertencias de organismos internacionales y compañías especializadas ponen de relieve la importancia de mantener actualizados los componentes que sostienen los servicios digitales.
La amplia utilización de PHP convierte estas vulnerabilidades en un asunto de relevancia internacional para la seguridad de los servidores y de los millones de sitios web que dependen de este lenguaje.