Vulnerabilidades críticas en PHP: qué hacer hoy

El 20 de octubre, CERT-EU, el equipo de ciberseguridad de las instituciones europeas, publicó el aviso 2026-018. Trata de dos vulnerabilidades en PHP, conocidas como CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación CVSS de 9,2. Según el aviso, un atacante podría ejecutar código en un servidor a través de ellas sin iniciar sesión. El equipo de PHP publica una actualización de seguridad el 21 de octubre a las 14:00 UTC (16:00 hora peninsular). Los detalles técnicos aún no son públicos.

Por qué también afecta a tu organización

PHP es el lenguaje de programación detrás de gran parte de la web. WordPress funciona con él, igual que muchas tiendas online, portales de clientes, intranets, webmail y los paneles de control de los planes de hosting. Según CERT-EU, todas las versiones de PHP desde PHP 5 pueden estar afectadas. Así que también cuenta una web antigua que nadie toca desde hace años.

Una vulnerabilidad que permite ejecutar código sin iniciar sesión suele explotarse a gran escala pocos días después del parche. Los atacantes comparan la versión antigua y la nueva y ven exactamente dónde estaba el fallo. Por eso el tiempo entre la actualización y los primeros ataques es corto.

Qué hacer hoy

1. Haz una lista de todo lo que pueda funcionar con PHP: tu web, tienda online, portal de clientes, webmail y el panel de control de tu hosting. Si no estás seguro, pregunta a tu desarrollador web o proveedor de hosting.
2. Pregunta a tu proveedor de hosting si aplicará la actualización de PHP después de las 16:00 hora peninsular, y cuándo. En hosting compartido suele hacerlo él; en un servidor propio o VPS, a menudo te toca a ti.
3. Instala la actualización en cuanto esté disponible. No esperes a la próxima ventana de mantenimiento.
4. Si no puedes actualizar pronto, desconecta la aplicación de internet temporalmente o protégela con un inicio de sesión. Es también lo que recomienda CERT-EU.
5. Anota qué hiciste y cuándo. Si tu organización está sujeta a NIS2, o un cliente pide pruebas de tu seguridad, las tendrás a mano.

Y Stilops

Stilops no usa PHP. Hemos revisado nuestro código y la configuración de nuestros servidores frente al aviso, y PHP no aparece en ninguno de los dos. Para los clientes de Stilops, esta vulnerabilidad no cambia nada en el servicio. De los proveedores que usamos nosotros mismos, seguimos sus actualizaciones.

Eso sí, un agente de Stilops puede ayudar con el primer paso: a partir de lo que le cuentes sobre tu web y tus sistemas, enumera lo que puede funcionar con PHP y prepara para cada elemento un mensaje a tu proveedor de hosting o desarrollador web. El envío lo haces tú, como siempre tras tu aprobación.