El equipo de seguridad de PHP ha informado este miércoles sobre dos vulnerabilidades críticas que podrían permitir la ejecución remota de código (RCE), afectando a plataformas como WordPress, MediaWiki o Symphony, entre otros, lo que ha llevado a lanzar una actualización de seguridad urgente y ha obligado a aislar sitios y aplicaciones web en todo el mundo de forma preventiva por seguridad.
Fuentes del Ministerio de Transformación Digital han indicado que el Instituto Nacional de Ciberseguridad (INCIBE) ha publicado una alerta, siguiendo el procedimiento habitual en estos casos, para que las entidades públicas y privadas procediesen a aplicar las medidas de mitigación necesarias.
En dicha alerta, accesible en su página web, INCIBE ha indicado las versiones afectadas por la vulnerabilidad en PHP, además de informar de los parches de código fuente publicados.
Asimismo, ha instado a aplicar de inmediato las nuevas versiones, ya desplegadas, para aplicar las correcciones necesarias. "Las medidas temporales reducen la exposición a rutas concretas, pero la actualización es la única solución completa. Si no puede actualizar un sistema expuesto a Internet, aíslelo de las redes públicas hasta aplicar una versión corregida", ha agregado.
Dos fallos críticos PHP
PHP es un lenguaje de programación de código abierto que habitualmente se utiliza para crear sitios y aplicaciones web, así como para procesar formularios, gestionar sesiones o consultar bases de datos, por lo que está muy presente en internet y es utilizado ampliamente por los desarrolladores a nivel global.
En este marco, se han hallado dos vulnerabilidades de ejecución remota de código en el ecosistema PHP que, etiquetadas como CVE-2026-109618 y CVE-2026-109619, han alcanzado una puntuación de gravedad de 9.2 sobre 10 en la escala CVSS 4.0, lo que indica que son críticas.
Las vulnerabilidades han sido recogidas por la compañía de ciberseguridad watchTowr, que ha señalado que estas vulnerabilidades se conocen como 'PHP2shell' y podrían permitir a los atacantes ejecutar su propio código en servidores afectados, tomando el control para alterar maliciosamente sitios web o robar datos.
Varios países, como Países Bajos, Bélgica o Francia, han confirmado suspensiones voluntarias de servicios oficiales y Japón ha recomendado desactivar páginas web en caso extremo.
