Vulnerabilidades críticas en PHP, ¿qué ha pasado?
Dos vulnerabilidades críticas detectadas en PHP han activado las alertas de ciberseguridad.
Descubre qué sistemas pueden verse afectados, cuáles son los riesgos y qué medidas deben tomar las empresas para proteger sus webs y servidores.
El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas que podrían permitir a un atacante ejecutar código de forma remota en un servidor vulnerable, sin necesidad de autenticarse previamente.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de gravedad de 9,2 sobre 10 según el sistema CVSS 4.0. Su impacto potencial hace imprescindible revisar los sistemas que utilizan versiones afectadas de PHP y aplicar las actualizaciones correspondientes.
Fuentes oficiales: PHP y ENISA.
¿Qué es PHP y por qué es importante esta alerta?
PHP es un lenguaje de programación utilizado principalmente para desarrollar páginas web dinámicas y aplicaciones que funcionan en servidores. Está presente en numerosos proyectos digitales, desde páginas corporativas hasta tiendas online y plataformas de gestión de contenidos.
Por eso, una vulnerabilidad en PHP puede tener consecuencias que van más allá de una única página web: si un servidor utiliza una versión vulnerable y se dan las condiciones necesarias para explotar el fallo, un atacante podría comprometer el sistema y acceder a los recursos a los que tenga permisos.
Es importante aclarar que no todas las páginas web están afectadas. El riesgo depende de la versión de PHP instalada, de cómo está configurado el servidor y de los componentes que utiliza cada aplicación.
¿En qué consisten las dos vulnerabilidades?
Los dos fallos publicados afectan al tratamiento interno de la memoria de PHP y pueden llegar a permitir la ejecución remota de código.
CVE-2026-109618: relacionada con un problema de corrupción de memoria durante la gestión de situaciones de falta de memoria.
CVE-2026-109619: relacionada con el uso de estado interno de una petición después de que la memoria asociada haya sido liberada.
En determinadas configuraciones, estos errores pueden permitir que una petición manipulada provoque la ejecución de código malicioso en el servidor.
Entre las posibles consecuencias de una explotación se encuentran el acceso no autorizado a información, la alteración de archivos, la instalación de componentes maliciosos o el compromiso de otros recursos accesibles desde el servidor.
Esto no significa que todos los sistemas vulnerables hayan sido atacados, pero sí que deben revisarse con prioridad.
¿Qué empresas y sistemas pueden verse afectados?
La alerta afecta especialmente a los servidores que reciben peticiones web y ejecutan versiones vulnerables de PHP.
Entre los entornos que conviene revisar se encuentran:
Webs desarrolladas con PHP: especialmente aquellas que utilizan versiones antiguas o que no reciben actualizaciones de seguridad.
WordPress y otros gestores de contenidos: además de actualizar sus propios componentes, es necesario comprobar la versión de PHP del servidor.
Tiendas online y aplicaciones web: pueden estar expuestas si dependen de una instalación vulnerable de PHP.
Servidores y servicios de terceros: algunas soluciones incorporan PHP como parte de su funcionamiento, aunque la empresa no lo gestione directamente.
Las organizaciones que utilizan servicios de hosting o servidores administrados también deben confirmar con su proveedor qué medidas se han aplicado.
¿Qué deben hacer las empresas para protegerse?
La principal recomendación del equipo de PHP y de los organismos de ciberseguridad es actualizar las instalaciones afectadas a versiones corregidas y compatibles.
Estas son las medidas prioritarias:
1. Identificar las instalaciones de PHP
Revisar los servidores, las webs corporativas, las aplicaciones y los servicios de terceros para conocer qué versiones de PHP están en funcionamiento.
2. Aplicar los parches de seguridad
Las versiones corregidas publicadas el 21 de octubre son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Debe instalarse la versión corregida adecuada para cada entorno, siguiendo las recomendaciones oficiales y comprobando la compatibilidad de las aplicaciones.
Las versiones antiguas que ya no reciben soporte requieren especial atención y un plan de migración a una versión compatible y mantenida.
3. Revisar los sistemas expuestos a Internet
Las aplicaciones accesibles públicamente deben tener prioridad. Si un sistema vulnerable no puede actualizarse inmediatamente, los responsables técnicos deben valorar su aislamiento temporal hasta corregir el problema.
4. Comprobar registros y posibles indicios de intrusión
Además de actualizar, es recomendable revisar los registros del servidor y monitorizar posibles actividades sospechosas. Instalar un parche corrige la vulnerabilidad, pero no garantiza que un sistema no haya sido comprometido anteriormente.
5. Mantener una estrategia de mantenimiento preventivo
Las actualizaciones de seguridad, la monitorización y la revisión periódica de los sistemas deben formar parte del mantenimiento habitual de la infraestructura tecnológica de cualquier empresa.
¿Afecta esta alerta a todas las empresas que utilizan un ERP?
No. La exposición depende de la tecnología y de la infraestructura sobre la que funciona cada solución.
Por ejemplo, Odoo utiliza principalmente Python para su lógica de aplicación, no PHP. Por tanto, estas vulnerabilidades de PHP no afectan directamente a una instalación estándar de Odoo por el mero hecho de utilizar este ERP.
Sin embargo, una empresa puede tener Odoo y, al mismo tiempo, disponer de una web corporativa, una tienda online u otros servicios que sí utilicen PHP. En ese caso, es necesario revisar esos componentes por separado.
Por eso, conocer qué tecnologías intervienen en cada parte de la infraestructura es fundamental para evaluar correctamente los riesgos y evitar tanto alarmas innecesarias como problemas de seguridad que pasen inadvertidos.
La seguridad informática empieza con la prevención
Las vulnerabilidades críticas recuerdan la importancia de mantener actualizados los sistemas, conocer las tecnologías que utiliza cada empresa y disponer de un equipo técnico capaz de reaccionar ante nuevas amenazas.
En PYMING, la gestión y el mantenimiento de la infraestructura tecnológica forman parte de nuestro enfoque para ayudar a las empresas a trabajar con sistemas estables y seguros. En este caso concreto, las medidas de protección se han aplicado en los servidores de PYMING y las instalaciones de Odoo de nuestros clientes no están afectadas directamente por estas vulnerabilidades de PHP.
¿Sabes qué tecnologías utilizan los servidores y aplicaciones de tu empresa?
Una revisión de la infraestructura puede ayudarte a identificar riesgos, priorizar actualizaciones y mejorar la continuidad de tu negocio.
En PYMING te ayudamos a analizar y optimizar tu entorno tecnológico para que puedas centrarte en lo más importante: tu empresa.
Más información