"Esto no es un simulacro": Vulnerabilidades críticas de PHP están incendiando Internet
wired ·
La Fundación PHP ha revelado dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que afectan a todas las instalaciones de PHP que atienden solicitudes web desde la versión 5. Estas fallas permiten a atacantes no autenticados ejecutar código o leer memoria sensible que contiene contraseñas y claves de API en los servidores afectados. Los expertos en seguridad advierten que el uso generalizado de PHP en infraestructuras esenciales como WordPress y Magento hace que estos errores sean particularmente peligrosos. Se detectaron ataques tempranos por parte de Cloudflare antes del lanzamiento oficial del parche, lo que generó temores sobre una propagación rápida de malware con capacidad de gusano. Como resultado, varios sitios web gubernamentales en Finlandia, Francia y los Países Bajos se desconectaron como medida preventiva. El NCSC del Reino Unido y otras agencias han instado a las organizaciones a aplicar actualizaciones inmediatamente o a desconectar los sistemas si los parches aún no están disponibles. Investigadores de Wiz, OpenAI y Calif colaboraron en la identificación de estos problemas, con algunos descubrimientos asistidos por herramientas de IA. Las autoridades enfatizan que actualizar es la única mitigación segura, ya que no existe una solución alternativa completa para el panorama de amenazas actual.
wired