𝐏𝐇𝐏 𝐚𝐝𝐯𝐢𝐞𝐫𝐭𝐞 𝐬𝐨𝐛𝐫𝐞 𝐝𝐨𝐬 𝐯𝐮𝐥𝐧𝐞𝐫𝐚𝐛𝐢𝐥𝐢𝐝𝐚𝐝𝐞𝐬 𝐜𝐫𝐢́𝐭𝐢𝐜𝐚𝐬 𝐜𝐨𝐧 𝐮𝐧𝐚 𝐩𝐮𝐧𝐭𝐮𝐚𝐜𝐢𝐨́𝐧 𝐝𝐞 𝟗.𝟐 𝐞 𝐢𝐧𝐬

El equipo de seguridad de PHP ha alertado a los usuarios sobre la existencia de dos vulnerabilidades críticas y ha instado a los administradores a prepararse para una próxima actualización de seguridad. Ambas fallas tienen una 𝐩𝐮𝐧𝐭𝐮𝐚𝐜𝐢𝐨́𝐧 𝐝𝐞 𝟗.𝟐 𝐬𝐞𝐠𝐮́𝐧 𝐞𝐥 𝐬𝐢𝐬𝐭𝐞𝐦𝐚 𝐂𝐕𝐒𝐒 𝐯𝟒.𝟎. Las actualizaciones están programadas para el 𝐦𝐢𝐞́𝐫𝐜𝐨𝐥𝐞𝐬 𝟐𝟏 𝐝𝐞 𝐨𝐜𝐭𝐮𝐛𝐫𝐞 𝐝𝐞 𝟐𝟎𝟐𝟔, a las 14:00 UTC, lo que otorga a los propietarios de sitios web y a los proveedores de alojamiento un breve margen de tiempo para prepararse.

Diversos informes públicos vinculan las próximas correcciones con los identificadores 𝐂𝐕𝐄-𝟐𝟎𝟐𝟔-𝟏𝟎𝟗𝟔𝟏𝟖 𝐲 𝐂𝐕𝐄-𝟐𝟎𝟐𝟔-𝟏𝟎𝟗𝟔𝟏𝟗. La firma de seguridad watchTowr describe estas fallas como vulnerabilidades de ejecución remota de código, las cuales podrían permitir a los atacantes ejecutar su propio código en los servidores afectados. No obstante, el aviso previo de PHP no menciona los identificadores CVE ni explica el funcionamiento de dichas vulnerabilidades. Según los informes, estas fallas podrían afectar a las versiones de PHP desde la 5 en adelante.

PHP publicará un parche de emergencia

En el momento de la publicación de la actualización, watchTowr no tenía constancia de que la vulnerabilidad estuviera siendo explotada en entornos reales. La advertencia de PHP sobre un posible lanzamiento anticipado es una medida de precaución, no una confirmación de que se hayan producido ataques. Las afirmaciones sobre demostraciones filtradas o código de explotación no deben considerarse pruebas de ataques contra objetivos reales.

Incidentes anteriores demuestran por qué los administradores deben prepararse con rapidez. Cybersecurity News documentó la explotación activa de CVE-2024-4577, otra vulnerabilidad de PHP, con intentos de ataque detectados apenas 24 horas después de su divulgación. Estos antecedentes subrayan la necesidad de planificar la aplicación de parches con urgencia, aunque no implican que estas nuevas vulnerabilidades estén siendo explotadas actualmente.

Anteriormente, en 2026, también se informó sobre vulnerabilidades en la extensión SOAP de PHP; no obstante, aquellos problemas afectaban a componentes distintos y requerían soluciones diferentes. Los administradores no deben asumir que la instalación de parches para fallos anteriores de PHP resolverá las dos vulnerabilidades que abordará esta próxima actualización.

CERT-EU recomienda identificar las aplicaciones PHP existentes y prepararse para aplicar parches en los sistemas afectados tan pronto como estén disponibles las versiones corregidas. En los casos en que no sea posible aplicar el parche de inmediato, las organizaciones deberían considerar aislar de las redes públicas aquellas aplicaciones expuestas a Internet hasta que se pueda implementar la corrección. Cualquier decisión de aislamiento debe tener en cuenta la disponibilidad del servicio y las necesidades operativas del negocio.

Los equipos deben aprovechar este periodo de preparación para determinar quién gestiona cada instalación de PHP y cómo llegarán las actualizaciones a los sistemas en producción. Una vez disponible la actualización, los administradores deben consultar la lista oficial de versiones afectadas, aplicar las correcciones pertinentes con prontitud y verificar la versión de PHP que se está ejecutando. Hasta entonces, ningún entorno debe considerarse seguro simplemente porque su configuración difiera de la descrita en informaciones que circulan por Internet.