Los desarrolladores de PHP publican una corrección para un error crítico y advierten a los propietarios de sitios web: «Desconectadlos si no tenéis la actualización instalada».

Los de­sa­rro­lla­do­res de PHP han pu­bli­ca­do ac­tua­li­za­cio­nes de emer­gen­cia para dos vul­ne­ra­bi­li­da­des crí­ti­cas des­pués de que las au­to­ri­da­des de ci­ber­se­gu­ri­dad ad­vir­tie­ran a las or­ga­ni­za­cio­nes de que de­bían apli­car los par­ches de in­me­dia­to o plan­tear­se des­co­nec­tar las apli­ca­cio­nes ex­pues­tas. Las ver­sio­nes PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 co­rri­gen las vul­ne­ra­bi­li­da­des CVE-2026-109618 y CVE-2026-109619, que pue­den per­mi­tir la eje­cu­ción re­mo­ta de có­di­go sin au­ten­ti­ca­ción. Los de­sa­rro­lla­do­res del pro­yec­to ins­ta­ron a los usua­rios a ac­tua­li­zar de in­me­dia­to. Todas las ins­ta­la­cio­nes de PHP que atien­den so­li­ci­tu­des web están po­ten­cial­men­te afec­ta­das, in­clui­das las im­ple­men­ta­cio­nes que uti­li­zan PHP-FPM, mod_php de Apa­che, php-cgi, Fran­kenPHP y Li­teS­peed, según in­di­ca­ron los de­sa­rro­lla­do­res. «Con­si­de­ra­mos que el ries­go es mayor en el caso de mod_php, ya que se ha de­mos­tra­do que una so­li­ci­tud no au­ten­ti­ca­da puede des­en­ca­de­nar el ata­que antes de que se eje­cu­te nin­gún có­di­go de la apli­ca­ción». Jake Knott, res­pon­sa­ble de in­te­li­gen­cia sobre ame­na­zas en watch­Towr, afir­mó: «Como era de es­pe­rar, watch­Towr Intel ya está ob­ser­van­do la ex­plo­ta­ción ac­ti­va de las úl­ti­mas vul­ne­ra­bi­li­da­des de PHP, con una va­rie­dad de prue­bas de con­cep­to (PoC) co­di­fi­ca­das con «vibe» que ya están lle­gan­do a nues­tros sen­so­res y que in­clu­yen di­ver­sos agen­tes de usua­rio «php2shell». Aun­que hasta la fecha nadie ha te­ni­do éxito, no es­pe­ra­mos que eso dure mucho tiem­po». «Cuan­do no sea po­si­ble apli­car los par­ches de forma in­me­dia­ta, las or­ga­ni­za­cio­nes de­be­rían con­si­de­rar ais­lar las apli­ca­cio­nes co­nec­ta­das a In­ter­net de las redes pú­bli­cas hasta que haya una so­lu­ción dis­po­ni­ble», se­ña­ló el CERT-EU en un aviso pu­bli­ca­do antes de la pu­bli­ca­ción de los par­ches. El or­ga­nis­mo enu­me­ra ambas vul­ne­ra­bi­li­da­des con pun­tua­cio­nes CVSS de 9,2. Los ser­vi­cios del Go­bierno fin­lan­dés y los si­tios web per­te­ne­cien­tes al Par­la­men­to neer­lan­dés, a las au­to­ri­da­des de ci­ber­se­gu­ri­dad y al re­gu­la­dor de pro­tec­ción de datos se des­co­nec­ta­ron como me­di­da de pre­cau­ción. El co­lec­ti­vo de de­fen­sa de la pri­va­ci­dad noyb tam­bién re­ti­ró tem­po­ral­men­te su sitio web. «PHP es la base de si­tios web de Word­Press, Dru­pal, Joom­la y Ma­gen­to, pla­ta­for­mas de alo­ja­mien­to com­par­ti­do, pa­ne­les de con­trol y una gran can­ti­dad de soft­wa­re que ni si­quie­ra anun­cia que uti­li­za PHP en se­gun­do plano», se­ña­ló el pro­vee­dor de se­gu­ri­dad de la in­for­ma­ción Hun­tress. Esto hace que iden­ti­fi­car las ins­ta­la­cio­nes ex­pues­tas sea una tarea con­si­de­ra­ble. «El nú­me­ro de lu­ga­res en los que hay que bus­car para iden­ti­fi­car ver­sio­nes vul­ne­ra­bles de PHP se dis­pa­ra muy rá­pi­da­men­te», afir­mó John Ham­mond, in­ves­ti­ga­dor prin­ci­pal sé­nior de se­gu­ri­dad de Hun­tress. ®…