España Alerta De Dos Vulnerabilidades Críticas En PHP
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan a varios entornos web y podrían explotarse de forma remota.
El Centro Criptológico Nacional, a través de su equipo de respuesta a incidentes CCN-CERT, publicó el 21 de octubre de 2026 una alerta de peligrosidad crítica por dos vulnerabilidades de seguridad en PHP que podrían permitir la ejecución remota de código sin autenticación. El organismo recomienda actualizar inmediatamente las aplicaciones que utilizan esta tecnología y desactivar temporalmente los servicios expuestos que no sean indispensables mientras se aplica la solución. (CCN-CERT).
PHP es un lenguaje de programación ampliamente utilizado para desarrollar sitios web y aplicaciones que funcionan en servidores. Por ello, los problemas de seguridad que afectan a sus componentes pueden tener consecuencias para organizaciones públicas y privadas que dependen de estos sistemas para ofrecer servicios en línea.
Qué Versiones De PHP Deben Actualizarse
La Fundación PHP confirmó la publicación de correcciones para dos fallos identificados como CVE-2026-109618 y CVE-2026-109619. Según el aviso de seguridad publicado en el portal oficial PHP.net, ambas vulnerabilidades pueden permitir que un atacante ejecute código de manera remota sin necesidad de autenticarse.
El equipo de desarrollo indicó que las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las organizaciones que utilicen versiones anteriores deben comprobar qué actualización corresponde a su instalación y consultar los paquetes de seguridad proporcionados por su distribuidor.
El aviso también advierte que PHP 8.1 y las versiones anteriores ya no reciben actualizaciones directamente del proyecto PHP. Algunos distribuidores de sistemas operativos y proveedores de soporte prolongado pueden ofrecer correcciones específicas, por lo que los administradores deben verificar la disponibilidad de estos parches antes de decidir cómo proceder.
Medidas Para Reducir El Riesgo
El CCN-CERT recomienda identificar todas las aplicaciones basadas en PHP y aplicar las actualizaciones lo antes posible. Si no es posible corregirlas inmediatamente, aconseja aislar de Internet aquellas aplicaciones cuyo funcionamiento no sea imprescindible hasta que puedan actualizarse.
La Fundación PHP subraya que la instalación de las versiones corregidas es la única solución completa. Las medidas temporales pueden reducir determinadas vías de ataque, pero no garantizan que un sistema vulnerable quede protegido.
El riesgo afecta especialmente a los servicios que procesan solicitudes web, incluidos entornos como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, según el aviso técnico del proyecto. El equipo de PHP señala que el escenario de mayor riesgo identificado corresponde a mod_php, para el que se ha demostrado un método de explotación sin autenticación previa.
La Actualización Es Prioritaria Para Las Organizaciones
La alerta sitúa la gestión de parches entre las medidas inmediatas que deben revisar los responsables de tecnología y ciberseguridad. Además de actualizar el software, las organizaciones necesitan comprobar qué servidores ejecutan versiones afectadas y coordinar la intervención con sus proveedores cuando corresponda.
La recomendación del CCN-CERT es actuar sin demora para reducir la exposición de los sistemas. La disponibilidad de versiones corregidas permite iniciar la actualización, mientras que los servicios que no puedan protegerse de inmediato deben limitar su exposición conforme a las indicaciones oficiales.