Los fallos podrían permitir la ejecución remota de código sin autenticación y motivaron recomendaciones para actualizar los sistemas afectados de inmediato
Dos vulnerabilidades críticas en PHP encendieron las alertas de organismos de ciberseguridad y administradores de sistemas, luego de que se advirtiera que podrían permitir a atacantes ejecutar código de forma remota en servidores vulnerables sin necesidad de autenticarse. El riesgo llevó a algunas organizaciones a desconectar temporalmente sus páginas web mientras aplicaban medidas de protección.
Los fallos fueron identificados como CVE-2026-109618 y CVE-2026-109619 y divulgados el 21 de octubre de 2026. Ambos recibieron una puntuación de gravedad de 9,2 sobre 10 bajo el sistema CVSS v4.0, una clasificación que refleja la importancia de evaluar y corregir las vulnerabilidades con rapidez.
La ejecución remota de código es un riesgo especialmente relevante para la seguridad informática, ya que puede permitir que un atacante ejecute instrucciones en un sistema afectado desde otro equipo. Cuando una vulnerabilidad de este tipo puede explotarse sin autenticación, el riesgo aumenta porque no sería necesario disponer previamente de credenciales válidas para intentar aprovecharla.
En este caso, las alertas se centran en los servidores que utilizan versiones de PHP afectadas por los fallos. PHP es un lenguaje de programación ampliamente utilizado en el desarrollo de sitios web y aplicaciones del lado del servidor, por lo que mantenerlo actualizado forma parte de las tareas esenciales de seguridad para las organizaciones que dependen de esta tecnología.
Tras la divulgación de las vulnerabilidades, el equipo de PHP publicó actualizaciones de seguridad y recomendó instalarlas de inmediato. La medida prioritaria para los administradores consiste en determinar qué versiones están en funcionamiento y comprobar cuáles requieren correcciones, en lugar de asumir que todos los servidores presentan el mismo nivel de exposición.
Los responsables técnicos deben coordinar las actualizaciones con sus proveedores de alojamiento cuando corresponda y verificar que las correcciones se hayan aplicado en todos los entornos expuestos a internet. La revisión debe incluir los distintos servidores y aplicaciones que dependan de PHP, ya que actualizar una instalación no garantiza por sí solo que todos los sistemas de una organización estén protegidos.
Además de instalar los parches, se recomienda examinar los registros de actividad en busca de comportamientos inusuales y evaluar si pudieron producirse accesos no autorizados. Esta revisión adquiere especial importancia en los sistemas que permanecieron expuestos durante un período sin las actualizaciones correspondientes.
La aplicación de una corrección reduce la exposición a la vulnerabilidad, pero no sustituye la revisión de posibles incidentes previos. Si un servidor estuvo expuesto y sin actualizar, los responsables de seguridad deben valorar si existen indicios de explotación y determinar si son necesarias medidas adicionales de respuesta.
La situación vuelve a poner de relieve la importancia de contar con procedimientos regulares para supervisar versiones de software, aplicar actualizaciones y comprobar la seguridad de los servicios publicados en internet. La rapidez con que se atienden estas alertas puede ser determinante para reducir las oportunidades de explotación de sistemas vulnerables.