El FBI y la Agencia de Seguridad Nacional de Estados Unidos (NSA) emitieron una alerta de ciberseguridad por dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de sitios web y servicios en Internet.
De hecho, estimaciones apuntan a que alrededor del 70% de los sitios web del mundo utilizan este lenguaje de programación.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir que atacantes ejecuten código de forma remota en servidores vulnerables, comprometiendo información confidencial, bases de datos y redes informáticas completas.
El problema resulta especialmente preocupante por la enorme presencia de PHP en Internet. Este lenguaje es utilizado por plataformas de comercio electrónico, portales informativos, servicios institucionales y sistemas de gestión de contenidos como WordPress, Joomla!, Drupal y Moodle.
Según los antecedentes difundidos, las vulnerabilidades también son conocidas como PHP2Shell y podrían ser aprovechadas sin necesidad de contar previamente con credenciales de acceso. Esto abre la posibilidad de que ciberdelincuentes ataquen servidores expuestos directamente a Internet.
La división de ciberseguridad del FBI advirtió que las organizaciones deben actuar inmediatamente. Entre sus recomendaciones figura actualizar las instalaciones afectadas de PHP, identificar todos los sistemas que utilizan este lenguaje y dar prioridad a aquellos servidores accesibles desde redes públicas.
La advertencia más drástica apunta a los sistemas que no puedan actualizarse rápidamente. El FBI recomienda desconectarlos temporalmente hasta que las vulnerabilidades puedan ser corregidas, una medida que también fue respaldada por la NSA.
Esta última agencia advirtió que las fallas pueden proporcionar a los atacantes una vía de acceso directa al sistema de archivos o las bases de datos de un servidor. Asimismo, adelantó que entregará instrucciones técnicas adicionales para enfrentar la amenaza.
La alerta también provocó medidas preventivas en distintos países. Algunos organismos públicos europeos suspendieron temporalmente sus sitios web mientras sus equipos técnicos evaluaban los riesgos y aplicaban las correcciones correspondientes.
La gravedad de las vulnerabilidades fue calificada con 9,2 puntos sobre 10 en la escala internacional CVSS. Además, especialistas de Palo Alto Networks informaron que ya han observado intentos de explotación, lo que aumenta la urgencia de instalar las actualizaciones.
Los desarrolladores de PHP publicaron este miércoles 21 de octubre los parches de seguridad correspondientes. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, mientras que las versiones 8.1 y anteriores ya no reciben actualizaciones oficiales del proyecto.
¿Qué deben hacer los administradores de sitios web y los usuarios?
El FBI también recomendó vigilar los servidores para detectar actividades sospechosas, especialmente procesos de PHP que ejecuten comandos inesperados o descarguen archivos.
Si existen indicios de un ataque, las organizaciones deben aislar los equipos comprometidos y conservar los registros para investigar lo ocurrido.
Para los usuarios habituales de Internet, no es necesario instalar programas especiales ni modificar sus computadores o teléfonos, ya que las vulnerabilidades afectan a los servidores.
Sin embargo, podrían sufrir interrupciones en servicios digitales o verse afectados por filtraciones de información si alguna plataforma que utilizan resulta comprometida.
La recomendación para administradores de sitios web y empresas es revisar inmediatamente sus instalaciones de PHP, contactar a sus proveedores de alojamiento y aplicar los parches disponibles.
Las instrucciones oficiales están publicadas en PHP.net, mientras las agencias de ciberseguridad continúan siguiendo la evolución de una amenaza que afecta a una parte importante de la infraestructura de Internet.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially… pic.twitter.com/tnwiQv5v0F
— FBI Cyber Division (@FBICyberDiv) October 21, 2026