Por: Revistaeyn.com
Varios sitios web gubernamentales quedaron fuera de servicio el miércoles 21 de octubre después de que la revelación de vulnerabilidades críticas de PHP, un lenguaje de programación ampliamente utilizado, provocara que los operadores de sitios web de todo el mundo se apresuraran a proteger sus sistemas.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a aplicar parches de inmediato o desconectar los sistemas vulnerables.
Los desarrolladores del lenguaje de programación PHP publicaron el miércoles nuevas correcciones urgentes para vulnerabilidades que habían estado latentes en su software durante años hasta que fueron descubiertas mediante inteligencia artificial, e indicaron que se "alienta a todos los usuarios a actualizar de inmediato".
Ante las advertencias de las empresas tecnológicas de que algunos piratas informáticos ya estaban explotando las vulnerabilidades, varios organismos gubernamentales de toda Europa, entre otros, desconectaron algunos sitios web como medida de precaución.
Las fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor", señaló la NSA en un comunicado en X. Los atacantes podrían utilizarlas para tomar control de servidores web sin necesidad de una contraseña.
PHP sirve de base para populares plataformas de diseño web, por lo que las debilidades potencialmente afectan a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales.
Apagones preventivos
El Centro Nacional de Ciberseguridad de Países Bajos (NCSC) confirmó que retiró temporalmente su propio sitio de internet como medida de precaución. También informó que otras organizaciones, incluidas entidades gubernamentales, desconectaron preventivamente sus páginas ante el riesgo de que los servidores fueran comprometidos.
La medida busca reducir la exposición mientras se aplican las correcciones. Una desconexión preventiva, por sí misma, no demuestra que el sitio haya sufrido una intrusión o un robo de información.
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una calificación de gravedad de 9,2 sobre 10, según CERT-EU, el servicio de ciberseguridad de las instituciones y organismos de la Unión Europea.
Los problemas afectan al manejo de memoria de PHP y pueden abrir la puerta a la ejecución de instrucciones no autorizadas en los servidores. El riesgo alcanza a instalaciones que procesan solicitudes web mediante distintas configuraciones y también puede extenderse a productos que incorporan PHP como componente interno.
PHP funciona en los servidores que procesan las solicitudes de los visitantes. Por eso, la respuesta requiere la intervención de los administradores y proveedores tecnológicos responsables de esos sistemas.
Las correcciones ya están disponibles
El equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen ambas vulnerabilidades, e instó a actualizar de inmediato.
El proyecto advirtió que las medidas temporales solo reducen determinados riesgos y que la actualización constituye la solución completa. Para instalaciones antiguas, los responsables deben consultar con sus proveedores la disponibilidad de correcciones o migrar a una versión con soporte.
CERT-EU recomendó aplicar los parches inmediatamente. Cuando no sea posible, aconsejó considerar el aislamiento de las aplicaciones expuestas a internet hasta instalar y verificar la corrección. Además, alertó de la circulación pública de detalles técnicos y pruebas de concepto, lo que aumenta el riesgo de explotación.
Qué deben revisar las empresas
El NCSC pidió a las organizaciones comprobar cuanto antes si sus sistemas son vulnerables y mantenerlos fuera de línea cuando todavía no hayan sido actualizados. También subrayó que las medidas provisionales no sustituyen los parches.
Para las empresas que dependen de portales, ventas o servicios digitales, la prioridad operativa es confirmar con sus equipos y proveedores qué instalaciones utilizan PHP, si recibieron la corrección y cuándo podrán funcionar con seguridad. Esa verificación permitirá determinar el alcance real de la exposición y la necesidad de interrumpir temporalmente algún servicio.
Con información del proyecto PHP, CERT-EU y el Centro Nacional de Ciberseguridad de Países Bajos y France24.
