Las vulnerabilidades críticas en PHP suponen uno de los grades fallos de seguridad de 2026

Semana de incidentes graves en servicios tecnológicos de relevancia mundial. Al día siguiente de la caída de Google Cloud, este miércoles 22 de octubre se ha hecho pública la detección de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados en internet.

PHP ha publicado parches para dos vulnerabilidades graves (CVE-2026-109618 y CVE-2026-109619) que permiten la ejecución remota de código, posibilitando que un atacante ejecute código malicioso sin necesidad de iniciar sesión en el sistema afectado, tal y como explican desde Red Hat. Dado que PHP sustenta la gran mayoría de los sitios web y servicios basados en la web a nivel mundial, como WordPress, la situación ha generado una amplia cobertura mediática.

Con una gravedad calificada de 9,2 sobre 10, los analistas lo señalan como uno de los fallos de seguridad más importantes de 2026, afirman en la compañía de ciberseguridad Check Point. La amenaza es especialmente preocupante porque permite la ejecución remota de código en ataques no autenticados, lo que en la práctica facilita a los cibercriminales tomar el control total de los servidores e instalar código malicioso antes de que las organizaciones apliquen los parches oficiales.

Dada la masiva presencia de PHP en el motor de Internet, este tipo de vulnerabilidades se propaga con extrema rapidez por el panorama global. Mientras el equipo de desarrollo de la plataforma prepara las actualizaciones correspondientes, cualquier servidor expuesto queda en un estado de vulnerabilidad crítica. La respuesta de las organizaciones debe ser inmediata para minimizar la exposición y evitar comprometer infraestructuras esenciales.

De hecho, y tal y como relatan desde Sophos, el incidente ha llevado a varias organizaciones a desconectar temporalmente sus páginas web como medida preventiva. Entre ellas se encuentran organismos públicos de Países Bajos, Finlandia y Francia, ante los informes de posibles ataques que estarían aprovechando estos fallos de seguridad.

Aunque los desarrolladores de PHP ya han publicado una actualización para corregir las vulnerabilidades, las agencias de ciberseguridad insisten en la importancia de aplicar los parches cuanto antes. Según W3Techs, PHP está presente en aproximadamente el 75 % de las páginas web cuyo lenguaje de programación se conoce, lo que amplía el alcance potencial del problema.

“El reto inmediato no consiste simplemente en instalar un parche, sino en localizar y gestionar todas las instancias en las que se ejecuta PHP", explica  Don Smith, VP Threat Intelligence de Sophos Counter Threat Unit. “Su uso está muy extendido y puede estar presente en páginas web públicas, sistemas de gestión de contenidos, plataformas de alojamiento y productos de terceros, en ocasiones sin que las organizaciones que los utilizan sean siquiera conscientes de ello".

El directivo de Sophos continúa: “Los equipos de seguridad deben dar prioridad a los sistemas expuestos a internet, confirmar qué versiones están afectadas en cuanto se publique el aviso oficial y aplicar las actualizaciones sin demora. Asimismo, siguiendo las recomendaciones del NCSC, cualquier sistema vulnerable que no pueda actualizarse debe aislarse de internet hasta que pueda protegerse".

Don Smith concluye: “Los ciberdelincuentes actúan con rapidez, especialmente con la ayuda de la inteligencia artificial, y es probable que esta vulnerabilidad se convierta en uno de sus objetivos prioritarios durante las próximas horas y días. Por ello, es fundamental que las organizaciones vigilen la actividad de PHP y de los servidores web para detectar comportamientos inusuales, ejecuciones de comandos u otros indicios de que un atacante podría haber conseguido acceder a sus sistemas".

Por su parte, Sergey Lozhkin, Head of Research Center for APAC and META en Kaspersky GReAT, ha declarado: “En la práctica, los atacantes podrían ejecutar código malicioso en los sistemas afectados, incluida la instalación de web shells, lo que les permitiría obtener el control de los servidores vulnerables”.

Y añade: “Este tipo de incidentes puede propagarse rápidamente por el panorama global de la ciberseguridad, especialmente cuando afecta a tecnologías tan ampliamente utilizadas. Por este motivo, la respuesta debe ser inmediata y contundente. Si vuestra infraestructura depende de PHP, el parche debería aplicarse en cuanto esté disponible, ya que una rápida corrección será esencial para minimizar la exposición y proteger los sistemas críticos”.

Finalmente, Gunnar Hellekson, vice president and general manager, Lightwell, Red Hat, ha hecho la siguiente declaración: "Gran parte del software crítico que mueve al mundo es también el menos visible. El código de producción estable, aquel "que simplemente funciona", se encuentra hoy en riesgo debido a la velocidad y el volumen de nuevas vulnerabilidades descubiertas mediante herramientas basadas en IA. La situación a la que se enfrenta PHP es un recordatorio de cuán profundamente arraigado está el código abierto en los sistemas que sostienen la actividad empresarial global".

"El efecto dominó derivado de las vulnerabilidades en un software fundacional como PHP puede extenderse a industrias enteras. Por ello, resulta fundamental contar con una fuente de software de confianza que ayude a gestionar este riesgo y que, idealmente, responda con rapidez a estas nuevas amenazas a medida que surgen".

"Dado el impacto potencial de estas vulnerabilidades, Red Hat recomienda a sus clientes implementar parches validados y probados tan pronto como estén disponibles a través de fuentes confiables, incluso si es necesario hacerlo fuera de las ventanas habituales de parcheo".