Una alerta de ciberseguridad encendió las alarmas este miércoles 21 de octubre, luego de que la Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtiera sobre dos fallas graves en PHP, tecnología que opera una gran cantidad de páginas web.
Las vulnerabilidades, conocidas como PHP2Shell y registradas con los identificadores CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de 9.2 sobre 10. Su principal peligro es que un atacante podría ejecutar código de manera remota sin contar con usuario ni contraseña, con posibles consecuencias para la seguridad de los servidores afectados.
El problema se encuentra en el núcleo de PHP, no exclusivamente en los sitios o aplicaciones que lo utilizan. Por ello, servicios construidos con WordPress, Drupal y otras plataformas pueden estar expuestos si dependen de una instalación vulnerable. Entre los entornos afectados figuran PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed; el equipo de PHP identifica mod_php como la configuración de mayor riesgo.
Ante la amenaza, la NSA recomendó aplicar las actualizaciones de seguridad de inmediato y, si no es posible mitigar el riesgo, considerar sacar temporalmente de línea los sistemas expuestos. Las versiones corregidas publicadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para versiones anteriores, especialmente las que ya no cuentan con soporte oficial, los administradores deben comprobar si su proveedor ofrece parches de seguridad.
La divulgación de información técnica antes del calendario previsto aceleró la publicación de las correcciones. También se reportaron intentos de explotación, aunque los primeros avisos técnicos no registraban actividad masiva confirmada.
El incidente representa un riesgo para organizaciones, empresas y administradores de sitios web, que deben revisar sus servidores y componentes, instalar las correcciones y comprobar que los procesos activos ya utilizan el código actualizado. La seguridad de una página no depende solo de su aplicación: también requiere mantener protegido el software que la ejecuta.
