El equipo de seguridad del ecosistema PHP ha detectado dos vulnerabilidades críticas de ejecución remota de código (RCE) etiquetadas como CVE-2026-109618 y CVE-2026-109619, con una calificación de gravedad de 9,2 sobre 10 en la escala CVSS 4.0. Estos fallos afectan a plataformas ampliamente extendidas como WordPress, MediaWiki o Symfony, comprometiendo potencialmente a cerca del 40 por ciento de los sitios web en internet al permitir a posibles atacantes tomar el control de los servidores para alterar contenidos o sustraer datos.
La firma de ciberseguridad watchTowr, que ha bautizado este fallo como ‘PHP2shell’, junto a investigadores del sector, advierte de que el problema afecta a todas las versiones de este lenguaje de programación desde PHP 5 en adelante. Ante la amenaza, el Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) recomendó aislar de las redes públicas las aplicaciones expuestas a internet hasta implementar las soluciones pertinentes, mientras que empresas como Cloudflare ya han reportado y neutralizado los primeros intentos de ataque en la red.
ChatGPT activa Chats bloqueados: un PIN oculta tus charlas privadas, pero sin cifrado
Para subsanar esta falla global, los desarrolladores de PHP han programado el lanzamiento de una actualización de seguridad urgente este miércoles 21 de octubre a las 14:00 horas UTC. Desde la organización han instado a todos los administradores y usuarios a aplicar el parche de forma inmediata en cuanto se encuentre disponible, recordando que en casos como el de WordPress la actualización del entorno de servidor deberá realizarse de manera manual por cada propietario.
Como medida preventiva, numerosos servicios y portales web en todo el mundo han suspendido de forma temporal sus operaciones o han entrado en modo de mantenimiento mientras se despliegan los protocolos de mitigación. La propia plataforma WordPress ha mantenido accesos restringidos de forma temporal en su web oficial a la espera de la publicación del parche definitivo por parte del equipo de desarrollo de PHP.
Europa Press