Vulnerabilidades críticas en PHP exigen parcheo inmediato

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) ha solicitado un parcheo inmediato para dos vulnerabilidades críticas identificadas en el lenguaje de programación PHP. Estos fallos, registrados como CVE-2026-109618 y CVE-2026-109619, son conocidos conjuntamente como “php2shell” y posibilitan la ejecución remota de código sin autenticación.

Según el aviso de CISA, disponible en cisa.gov, las vulnerabilidades afectan a todas las instalaciones de PHP que atienden solicitudes web. Las organizaciones deben actualizar sus sistemas a las versiones PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 para corregir estos problemas de seguridad.

Aunque CISA no ha observado explotación activa de estas vulnerabilidades hasta la fecha de publicación del aviso, la agencia subraya el riesgo significativo que representan si se dejan sin parchear. Se recomienda a las organizaciones identificar e inventariar los sistemas que ejecutan cualquier versión de PHP, priorizando el parcheo inmediato de aquellos expuestos a internet.

Para sistemas que no puedan ser actualizados de inmediato, o aquellos que aún utilicen versiones de PHP 8.1 o anteriores no soportadas, CISA sugiere retirar temporalmente estos sistemas de línea hasta que puedan ser parcheados. La implementación de un firewall de aplicaciones web (WAF) puede ofrecer una protección provisional. Adicionalmente, se aconseja revisar el aviso de seguridad oficial de PHP para obtener orientación detallada y monitorear la actividad sospechosa, como procesos de trabajo de PHP iniciando shells o descargando herramientas.