MercoPress. South Atlantic News Agency
Alerta mundial por dos fallos críticos en PHP que obligan a desconectar webs gubernamentales
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de gravedad de 9,2 sobre 10 y afectan a todas las instalaciones de PHP que atienden peticiones web Gobiernos y empresas de varios países desconectaron temporalmente sus sitios web esta semana ante dos vulnerabilidades críticas en PHP, el lenguaje de programación con el que funciona buena parte de internet, que permiten a un atacante ejecutar código a distancia en los servidores sin necesidad de autenticarse. El equipo de desarrollo de PHP publicó el miércoles las correcciones y pidió actualizar de inmediato.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de gravedad de 9,2 sobre 10 y afectan a todas las instalaciones de PHP que atienden peticiones web, incluidas plataformas como WordPress, Drupal o Joomla. La agencia estadounidense de ciberseguridad, CISA, los ha denominado “php2shell”. Las correcciones están disponibles en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
El equipo de respuesta a emergencias informáticas de la Unión Europea recomendó a las organizaciones que no puedan aplicar el parche de inmediato aislar de internet las aplicaciones expuestas. Según su último aviso, ya circulan públicamente pruebas de concepto del ataque, lo que aumenta la probabilidad de que los fallos estén siendo explotados. Empresas de seguridad informan de intentos de ataque, por ahora sin éxito confirmado. La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió a las organizaciones prepararse para actualizar, y la CISA y el centro británico de ciberseguridad urgieron a hacerlo cuanto antes.
Como medida preventiva, Países Bajos desconectó portales como el sistema de identificación digital DigiD y webs de su Parlamento; Finlandia, varios servicios públicos, y Francia, los sitios de sus prefecturas, según la prensa especializada. También hubo desconexiones en Dinamarca y Australia, y en grandes plataformas de Japón, cuya primera ministra, Sanae Takaichi, pidió revisar los sitios web públicos que utilizan PHP y prepararse para aplicar la corrección.
