El fallo en PHP que hizo a gobiernos retirar sitios web — y qué hacer ahora

schedule Qué pasó, día a día

1. ~17/octAmazon detecta el primer intento de explotación, cuatro días antes del anuncio público.
2. 21/octPHP lanza las versiones corregidas. La Fundación PHP dice que una empresa publicó los parches horas antes del fin del plazo acordado de confidencialidad.
3. 21–22/octGobiernos y empresas retiran sitios web por precaución. Cloudflare reporta un aumento fuerte en los intentos de explotación.
4. 23–26/octTrail of Bits confirma exploits funcionando contra PHP 8.2 a 8.5 sin corrección.
5. 26/octCISA incluye los dos fallos en el catálogo de vulnerabilidades explotadas (KEV); los organismos federales estadounidenses tienen hasta el 29/oct para corregir.

translate Qué es esto, sin jerga

PHP es el “lenguaje” que hace funcionar muchos sitios web: recibe tu solicitud, busca los datos y arma la página. Se ejecuta dentro del servidor, y por eso un fallo en él vale más que un fallo en un plugin: quien lo explota queda al mando del servidor entero.

Son dos fallos de gestión de memoria. En el primero, cuando la memoria del servidor se agota en medio de una solicitud, PHP limpia datos que aún estaban a medias y trata lo que quedó como si fuera válido. En el segundo, información dejada por una solicitud anterior apunta a memoria que ya fue liberada, y la solicitud siguiente termina usando esa “basura”. Con técnica suficiente, un atacante convierte ese desliz en ejecución de comandos, la llamada ejecución remota de código (RCE). De ahí el apodo: PHP + shell, la línea de comandos del servidor.

person_alert Cómo esto puede afectar tu vida

• Sitios que usas (tienda, banco, alcaldía, hospital, juegos) pueden salir del aire por horas o días mientras se corrigen.
• Si el servidor de un sitio es tomado, el atacante puede leer datos que están en la memoria y en la base de datos. Por eso quienes administran sistemas deben cambiar contraseñas y claves, y tú debes cambiar la contraseña de servicios que avisen de un incidente.
• Si tienes un sitio, blog o tienda (WordPress y similares), puede ser usado para estafas, spam, redirigir visitantes u ocultar programas maliciosos, y Google puede marcarlo como peligroso.
• PHP también viene integrado en otros productos: TechCrunch cita componentes de routers, equipos de almacenamiento, firewalls y VPN. No siempre es obvio que hay PHP ahí.
• Los estafadores aprovechan el miedo. Desconfía de correos y mensajes que digan que tu sitio o cuenta fue invadido y pidan contraseña, pago o instalación de un programa.

shield Quién está en riesgo

El fallo más antiguo que encontraron los investigadores se remonta a PHP 5.4. Vea la situación por versión:

• PHP 8.5 antes de 8.5.12, 8.4 antes de 8.4.27, 8.3 antes de 8.3.36, 8.2 antes de 8.2.35: vulnerables. Corrija actualizando a esas versiones o más nuevas.
• PHP 7.4 a 8.1: sin versión oficial de corrección, solo backports de algunos proveedores. Pregunta a tu hosting o migra.
• PHP 5.4 a 7.3: fin de vida, sin corrección de PHP. Migra.
• Ubuntu, Debian, CloudLinux y cPanel suelen mantener el número antiguo y corregir “por dentro” del paquete, así que revisa el aviso del proveedor y no solo el número de versión.

checklist Qué hacer ahora: si tienes un sitio web

1. Averigua la versión de PHP que atiende tu sitio: en el panel del hosting (en cPanel, “Select PHP Version”) o pregunta al soporte. Cuidado: el comando php -v muestra el PHP de la línea de comandos, que puede ser diferente del que atiende el sitio.
2. Actualiza a una versión corregida (8.5.12, 8.4.27, 8.3.36, 8.2.35 o más nueva) o instala el paquete corregido de tu proveedor.
3. Reinicia los procesos de PHP. Instalar el paquete no corrige un proceso que ya está en ejecución.
4. No confíes en configuraciones provisionales: reducen el riesgo, pero no hacen segura la instalación.
5. ¿Estás en PHP 8.1 o anterior sin soporte? Migra a una versión soportada (de preferencia 8.4 u 8.5). Si no es posible ahora, considera retirar el sitio o ponerlo en mantenimiento hasta resolverlo.
6. Busca señales de invasión, principalmente desde el 17/oct: archivos nuevos y extraños, procesos de PHP abriendo comandos o descargando programas, tráfico anormal. Si encuentras algo, no lo borres: preserva las evidencias y llama a un especialista.
7. Cambia contraseñas y claves del servidor (base de datos, correo, APIs). Si usas UpdraftCentral en WordPress, borra sus claves: Patchstack reporta atacantes usando claves válidas para instalar backdoors.
8. Un firewall de aplicación (WAF), como el de Cloudflare, es un parche temporal, no la solución: solo protege el tráfico que pasa por él.

person ¿Y si yo solo uso internet?

• Usa contraseñas diferentes en cada servicio y activa la verificación en dos pasos.
• Si una tienda o servicio avisa de un incidente, cambia la contraseña y estate atento a los movimientos.
• Mantén el celular y la computadora actualizados y no instales nada a partir de un correo “de seguridad”.

hub No es solo PHP: lo que esto muestra

Esta no es la primera vez que una pieza oculta debajo de todo amenaza a medio mundo. Heartbleed (2014) estaba en OpenSSL, que protege conexiones seguras. Log4Shell (2021) estaba en Log4j, una biblioteca de registros en Java usada en millones de sistemas. En 2024, una puerta trasera fue plantada en XZ Utils, una utilidad de compresión presente en muchos servidores Linux, y solo fue descubierta por casualidad.

El patrón se repite: componentes que nadie ve, software antiguo difícil de actualizar y fallos de memoria en lenguajes que no protegen al programador de ese tipo de error. TechCrunch observa que la migración hacia lenguajes más seguros avanza, pero está incompleta, y que investigadores dicen que las herramientas de IA aceleran el descubrimiento de fallos; Cali y Wiz, que encontraron estos, usaron IA en el trabajo. Ninguna tecnología es inmune.

Lo que ayuda en cualquier caso: saber qué ejecutas (sistema del servidor, WordPress y plugins, bibliotecas, contenedores, hasta el router), tener quién siga las alertas y actualizar rápido.

menu_book Glosario

RCE (ejecución remota de código)

Cuando un atacante logra que el servidor ejecute comandos a distancia.

CVE

Número de catálogo público de un fallo de seguridad. Aquí, CVE-2026-109618 y CVE-2026-109619.

CVSS

Nota de gravedad de 0 a 10. Por encima de 9 es crítico; estos tienen 9,2.

Patch

Corrección del fabricante que arregla el fallo.

mod_php / PHP-FPM

Formas en que el servidor web ejecuta PHP. PHP considera el mod_php de Apache el de mayor riesgo.

Use-after-free

Error en el que el programa usa memoria que ya fue devuelta al sistema, lo que puede ser aprovechado por atacantes.

Exploit

Código o técnica que se aprovecha de un fallo.

KEV

Catálogo de CISA de fallos que ya están siendo explotados en la práctica.

WAF

Firewall de aplicación: filtro que intenta bloquear solicitudes maliciosas antes de que lleguen al sitio.

Backdoor / webshell

Puerta trasera dejada por un atacante para volver al servidor después.