Vulnerabilidades en PHP ya están siendo explotadas: qué deben revisar las empresas

Dos vulnerabilidades críticas recientemente descubiertas en PHP ya están siendo explotadas en ataques reales, según alertas internacionales de ciberseguridad. PHP es una tecnología utilizada detrás de numerosos sitios web, tiendas en línea, portales de clientes y aplicaciones empresariales. Por ello, el problema puede afectar también a empresas que no desarrollan directamente sus propios sistemas, pero dependen de proveedores de hosting, desarrollo web o infraestructura.

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, pueden permitir que un atacante ejecute código en un servidor vulnerable sin contar previamente con usuario o contraseña.

¿Qué empresas deberían revisar su exposición?

Principalmente aquellas que utilizan sitios, portales o aplicaciones construidos sobre PHP. Esto puede incluir plataformas como WordPress, WooCommerce, Drupal o Magento, así como desarrollos propios y aplicaciones empresariales.

El problema no significa que estas plataformas tengan necesariamente una falla propia. El riesgo está en la versión de PHP utilizada por el servidor que las ejecuta.

¿Cuál puede ser el impacto?

Si un servidor vulnerable es comprometido, un atacante podría, dependiendo de la configuración y los permisos existentes:

• modificar o interrumpir un sitio o aplicación;

• acceder a información o credenciales disponibles para ese servidor;

• instalar software malicioso;

• o utilizar el servidor como punto de partida para intentar acceder a otros sistemas.

El 26 de octubre, la agencia estadounidense CISA incorporó ambas vulnerabilidades a su catálogo de fallas con explotación conocida, confirmando que el riesgo ya no es únicamente teórico.

¿Qué debe hacer una empresa?

La recomendación principal es sencilla: confirmar que los servidores PHP hayan sido actualizados.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. En entornos Windows también se publicaron posteriormente paquetes actualizados que incorporan una corrección adicional relacionada con Brotli.

Las empresas que tercerizan sus sistemas deberían preguntar directamente a sus proveedores:

¿Alguno de nuestros sitios, portales o aplicaciones utiliza PHP y ya fueron aplicadas las actualizaciones de seguridad publicadas en octubre?

También es recomendable revisar registros de actividad inusual, accesos no reconocidos y modificaciones recientes en los servidores expuestos a Internet.

Más allá de este incidente, el caso deja una pregunta importante para cualquier empresa:

¿sabemos qué tecnologías sostienen nuestros sistemas digitales y quién es responsable de mantenerlas actualizadas?

Fuentes: PHP Security Team, CISA, Canadian Centre for Cyber Security.