Dos fallos críticos de PHP provocan advertencias urgentes y una alerta del Gobierno surcoreano

Empresas de seguridad y funcionarios de Corea del Sur y del extranjero pidieron una acción rápida ante dos vulnerabilidades críticas de PHP, un lenguaje de programación muy utilizado para crear sitios web. Newsis y Dong-A Ilbo informaron el 21 de octubre de que el equipo de seguridad de PHP planeaba publicar a las 23:00, hora de Corea, ese mismo día, una actualización que corrige los dos fallos. Cada fallo obtiene una puntuación de 9,2 sobre 10 según CVSS 4.0, el nivel 'Crítico'. [ 1 , 2 ]

Los fallos son CVE-2026-109618 y CVE-2026-109619, que el sector de la seguridad denomina también PHP2Shell. Se conocen como vulnerabilidades de ejecución remota de código que permiten a un atacante externo ejecutar código arbitrario en un servidor. Un ataque exitoso podría provocar el robo de información o la alteración del contenido de los sitios web. El equipo de seguridad pidió a los operadores que se preparen para aplicar la actualización en cuanto aparezca, y dijo que los detalles concretos, las versiones afectadas y las versiones corregidas se anunciarán con ella. [ 1 , 2 ]

El CERT-EU, el organismo de respuesta en ciberseguridad de las instituciones y agencias de la UE, recomendó identificar los sitios web y servicios que funcionan con PHP y preparar actualizaciones de seguridad. Cuando la acción inmediata sea difícil, dijo, los operadores deben considerar el bloqueo del acceso externo al servicio hasta aplicar la actualización. Wordfence subrayó que las actualizaciones propias de WordPress son distintas de las actualizaciones de seguridad de PHP y pidió a los operadores que comprueben su versión de PHP y los planes de actualización de su proveedor de alojamiento. En Corea del Sur, AhnLab advirtió del riesgo de ejecución remota de código en un aviso urgente, pero indicó que aún no se había facilitado el alcance oficial del impacto. [ 1 , 2 ]

Yonhap informó el 22 de octubre de que el Ministerio de Ciencia y TIC y la Agencia Coreana de Internet y Seguridad (KISA) pidieron a los miembros del sistema de intercambio de amenazas C-TAS y a las empresas obligadas a designar un director de seguridad de la información que adopten medidas de seguridad. La KISA gestiona C-TAS, en el que participan unas 5.900 empresas e instituciones, y unas 30.000 empresas están obligadas a presentar dicho informe. El portal 'Boho Nara' de la KISA también publicó un aviso que recomienda actualizaciones y parches. Yonhap dijo que el fallo puede explotarse sin inicio de sesión ni autenticación y que los desarrolladores de PHP publicaron nuevas versiones que corrigen los dos fallos el 21 de octubre (hora local). [ 3 ]

Yonhap dijo que expertos del sector de la seguridad sostienen que las pequeñas empresas con personal de seguridad limitado pueden tener dificultades para aplicar parches con rapidez y que el Gobierno debería organizar ayuda práctica, como un apoyo de parches de emergencia. Un funcionario del ministerio dijo que primero se informó a las empresas afectadas y que el apoyo de parches de emergencia para las pequeñas y medianas empresas está en estudio. Citando a W3Techs, Yonhap señaló que alrededor del 75% de los sitios web cuyo lenguaje de programación puede identificarse usan PHP, y que WordPress, utilizado en alrededor del 43% de todos los sitios web, también funciona con él. Añadió que se dice que la empresa de seguridad Kaelipeu (캘리프) encontró los fallos usando el modelo GPT-5.6 Sol de OpenAI. [ 3 ]

Dong-A Ilbo citó a Park Se-jun (박세준), director ejecutivo de Theori (티오리), quien escribió en Facebook que muchos sitios coreanos, como los que usan la herramienta de foros Gnuboard (그누보드) o tiendas online antiguas, funcionan con versiones antiguas de PHP como la 5 y la 7. Dijo que los sitios olvidados, las tiendas online externalizadas y las páginas de gestión de equipos también pueden funcionar con PHP, y aconsejó aplicar el parche de inmediato o bloquear temporalmente el acceso externo. LogPresso dijo que desactivar la función de progreso de subida de archivos podría reducir parte del riesgo hasta el parche, y aconsejó revisar los registros del servidor por caídas anormales de PHP, web shells y comunicaciones externas sospechosas. Dong-A Ilbo añadió que las versiones posteriores al periodo de soporte oficial de PHP no reciben correcciones de seguridad oficiales. [ 2 ]