Las agencias de ciberseguridad instaron a los operadores de sitios a proteger sus sistemas PHP el 22 de octubre, ampliando la respuesta mundial a dos fallas críticas. El Centro Nacional de Ciberseguridad de Nueva Zelanda pidió aplicar parches de inmediato y vigilar posibles ataques. La advertencia siguió a las correcciones de emergencia del 21 de octubre para vulnerabilidades que permiten ejecutar código en un servidor sin iniciar sesión.
El aviso del proyecto PHP considera en riesgo todas las instalaciones que procesan solicitudes web, incluidas PHP-FPM y Apache con mod_php. Sitúa el mayor riesgo en mod_php, donde los investigadores demostraron un ataque antes de ejecutarse el código de la aplicación. PHP genera páginas y gestiona tareas del servidor; la exposición depende del software y la configuración de cada servicio.
El proyecto publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir las fallas CVE-2026-109618 y CVE-2026-109619. Su aviso describe problemas de gestión de memoria y de estado interno que persiste entre solicitudes. Los operadores que utilizan paquetes de distribuidores de sistemas operativos o proveedores de soporte prolongado deben consultarles sobre versiones corregidas, indicó el proyecto.
La Fundación PHP explicó que los primeros indicios de uno de los problemas surgieron tras una auditoría de seguridad de 2024. Informes posteriores de Calif, OpenAI y Wiz establecieron su alcance completo y convirtieron la corrección en su máxima prioridad de seguridad en agosto. La fundación reconoció que la escasez de recursos y la dificultad de elegir una reparación compatible retrasaron los trabajos, y anunció cambios en sus decisiones.
El Centro Nacional de Ciberseguridad británico pidió identificar PHP en toda la infraestructura, priorizando los sistemas expuestos a internet. Sus directrices recomiendan considerar la desconexión cuando no sea posible actualizar o aplicar medidas temporales con rapidez. Estas precauciones reducen la exposición; una interrupción por sí sola no demuestra que atacantes hayan comprometido un sitio.
La agencia neozelandesa advirtió que aplicar parches no revierte una intrusión existente. Las directrices británicas también piden buscar indicios de ataques y puertas traseras cuando resulte imposible actualizar o desconectar de inmediato. Ambos avisos incluyen la vigilancia continua en la respuesta, mientras la agencia británica también insta a seguir las actualizaciones de productos y servicios de terceros que incorporan PHP.
Comentarios