Dos vulnerabilidades con gravedad de 9.2 sobre 10 ponen en riesgo sitios web; la NSA pidió actualizar de inmediato o desconectar temporalmente los sistemas expuestos.

Redacción Los Conjurados

La Agencia de Seguridad Nacional de Estados Unidos (NSA) emitió este 21 de octubre una alerta urgente por dos vulnerabilidades críticas en PHP, uno de los lenguajes más utilizados para operar sitios web. Las fallas, identificadas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), pueden permitir que atacantes ejecuten código de forma remota sin necesidad de autenticarse.

De acuerdo con el equipo oficial de PHP, las vulnerabilidades tienen una calificación de 9.2 sobre 10 y afectan instalaciones que procesan solicitudes web, incluidas configuraciones con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es especialmente alto en servidores con mod_php. <Cite refs={["turn499475search1","turn499475search7"]}/>

Una explotación exitosa podría dar acceso al entorno del servidor y comprometer archivos, información y otros recursos, por lo que el problema no se limita a una aplicación específica: también pueden quedar expuestos sitios que utilizan plataformas como WordPress, Drupal o Magento si funcionan sobre versiones vulnerables.

La NSA recomendó a las organizaciones actualizar sus sistemas cuanto antes y considerar desconectar de internet los que no puedan protegerse de inmediato. El proyecto PHP publicó correcciones para las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1 y anteriores requieren especial atención, pues ya no reciben actualizaciones oficiales regulares y es necesario revisar las correcciones disponibles con el proveedor correspondiente. <Cite refs={["turn499475search1","turn499475search2","turn499475search6"]}/>

La alerta llega después de que se difundieran detalles técnicos antes de la fecha prevista para su divulgación, lo que aceleró la publicación de los parches. Aunque se reportaron pruebas de explotación, las autoridades técnicas señalaron que al momento de sus primeros avisos no había indicios de una explotación masiva.

La recomendación es clara: identificar las instalaciones de PHP, aplicar las actualizaciones de seguridad y verificar que los servicios estén ejecutando las versiones corregidas. Actualizar únicamente el gestor de contenidos no soluciona la falla si el entorno PHP sigue vulnerable.