El equipo de seguridad del ecosistema PHP alertó este miércoles 21 de octubre de dos vulnerabilidades críticas que podían permitir a los atacantes ejecutar código de forma remota en servidores.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, obtuvieron una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS 4.0. Además, la compañía de ciberseguridad watchTowr se refirió a estos fallos como ‘PHP2shell’ y advirtió que podían permitir ejecutar código malicioso en los servidores vulnerables, lo que abría la puerta a alterar páginas web o robar información.
Según el INCIBE, los fallos han afectado a las versiones de PHP desde la rama 5 en adelante y, aunque su alcance potencial es amplio, por el momento no se han comunicado casos de explotación de estas vulnerabilidades. No obstante, para corregir los fallos, el equipo de PHP anunció una actualización de seguridad e instó a los administradores a instalarla cuanto antes, teniendo en cuenta las vulnerabilidades llevaron a preparar una actualización de seguridad urgente mientras algunos administradores aislaban sitios web y aplicaciones de forma preventiva para reducir los riesgos.
¿Qué es PHP?
PHP es un lenguaje de programación de código abierto y de uso general para desarrollar páginas y aplicaciones web, procesar formularios, gestionar sesiones y consultar bases de datos. A diferencia de JavaScript, el código PHP se procesa en el servidor antes de enviar el resultado final en formato HTML al navegador y permite generar contenido personalizado según las acciones o datos del usuario.
También, este lenguaje de programación opera en segundo plano, es gratuito, tiene una integración nativa con sistemas de gestión de bases de datos como MySQL o PostgreSQL, funciona en diversos sistemas operativos y servidores web, permite comunicar aplicaciones móviles con servidores web, maneja formularios y sesiones, e incluso es la base de plataformas populares como WordPress.
Cabe mencionar que su amplia presencia en internet hizo que la alerta de las vulnerabilidades adquiriese especial relevancia por el número de servicios que podían verse afectados, debido a que PHP sustenta cerca del 70% de todos los sitios web cuyo lenguaje de programación se puede identificar.
¿Por qué un fallo de PHP puede afectar a gran parte de internet?
PHP es uno de los lenguajes de programación más populares para crear sitios webs, por lo que una vulnerabilidad en su código puede poner en riesgo numerosos servicios online. Plataformas como WordPress, MediaWiki y Symfony emplean esta tecnología para ejecutar distintas funciones, aunque la exposición depende de cómo estén configurados sus sistemas y de las versiones que empleen.
Por lo tanto, el riesgo es especialmente relevante en WordPress, que está presente en alrededor del 40% de los sitios web de internet, según los datos citados por la empresa de ciberseguridad watchTowr. Sin embargo, esto no significa que todas esas páginas sean vulnerables, ya que el impacto depende de si sus servidores utilizan versiones afectadas. Por lo tanto, para protegerlas, los administradores deben comprobar qué versión de PHP tenían instalada y aplicar la actualización de seguridad correspondiente.