La Oficina Federal de Investigaciones (FBI) de Estados Unidos emitió una alerta de ciberseguridad por dos vulnerabilidades críticas identificadas en PHP, un lenguaje de programación utilizado por millones de sitios y aplicaciones web en todo el mundo.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir que ciberdelincuentes ejecuten código de forma remota en servidores que utilizan versiones vulnerables de PHP, con el riesgo de acceder a información confidencial, alterar sistemas o comprometer redes informáticas.

La advertencia está dirigida principalmente a empresas, instituciones públicas, administradores de servidores y organizaciones que dependen de aplicaciones desarrolladas con este lenguaje.

El FBI recomienda actuar de inmediato y advierte que, cuando no sea posible instalar las actualizaciones de seguridad, las organizaciones deberían desconectar los sistemas afectados hasta que las vulnerabilidades puedan mitigarse.

PHP es un lenguaje de programación que funciona principalmente en los servidores donde se alojan páginas y aplicaciones de internet. A diferencia del código que se ejecuta en el navegador del usuario, PHP permite procesar información, consultar bases de datos, administrar sesiones y generar contenidos dinámicos.

Por ejemplo, cuando una persona inicia sesión en una página, consulta información de su cuenta o completa un formulario, es posible que PHP intervenga en el procesamiento de esos datos.

Este lenguaje también se utiliza en plataformas de gestión de contenidos como WordPress, Drupal y Joomla, además de numerosas tiendas en línea, sistemas empresariales y portales institucionales.

Por eso, una vulnerabilidad en PHP puede tener consecuencias más amplias que un problema en una sola página: el riesgo puede alcanzar a diferentes aplicaciones que compartan una instalación vulnerable del lenguaje.

Sin embargo, la alerta no significa que todos los sitios desarrollados con PHP hayan sido comprometidos. La exposición depende de las versiones instaladas, la configuración de los servidores y las condiciones necesarias para explotar cada falla.

El principal riesgo señalado por el FBI es la ejecución remota de código, conocida en ciberseguridad como RCE, por sus siglas en inglés.

Este tipo de vulnerabilidad puede permitir que un atacante ejecute instrucciones en un servidor sin necesidad de acceder físicamente al equipo.

Dependiendo de los permisos del sistema y de las características de la vulnerabilidad, un ataque exitoso podría facilitar el robo de información, la modificación de archivos, la instalación de programas maliciosos o el acceso a otros recursos de una red.

Entre los datos potencialmente expuestos podrían encontrarse credenciales de acceso, información de clientes, registros internos y otros archivos almacenados en los sistemas comprometidos.

Las dos vulnerabilidades recibieron una calificación de 9,2 sobre 10 en la escala internacional CVSS, lo que las sitúa en el nivel crítico. El riesgo no es únicamente teórico. La firma de ciberseguridad Palo Alto Networks informó que ha observado intentos de explotación de estas fallas en sistemas reales.

La alerta también provocó medidas preventivas en Europa. Distintas páginas gubernamentales, educativas y sanitarias fueron desconectadas temporalmente en países como Países Bajos, Alemania, Francia, Bélgica y Finlandia, mientras sus responsables revisaban los sistemas e instalaban las correcciones.

De acuerdo con la información técnica publicada este 21 de octubre, las vulnerabilidades afectan a versiones de PHP desde la rama 5.4 hasta la 8.5.11.

Los desarrolladores del lenguaje ya publicaron cuatro versiones corregidas:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Las instalaciones antiguas requieren especial atención, porque algunas versiones dejaron de recibir mantenimiento oficial y pueden necesitar una actualización mayor o parches proporcionados por sus distribuidores.

La agencia estadounidense pide a las organizaciones identificar todos los sistemas que utilizan PHP y dar prioridad a aquellos que están conectados directamente a internet.

También recomienda instalar inmediatamente las actualizaciones oficiales disponibles en php.net y comprobar si los productos de terceros incorporan versiones vulnerables del lenguaje. Cuando una actualización inmediata no sea posible, el FBI aconseja desconectar los sistemas afectados hasta que puedan protegerse adecuadamente.

Otra medida consiste en vigilar la actividad de los servidores, especialmente la aparición de procesos inesperados, descargas de archivos sospechosos o instrucciones que podrían indicar que un atacante está intentando tomar el control.

Si se detectan señales de una intrusión, las organizaciones deben aislar los equipos comprometidos, conservar los registros informáticos y comunicar el incidente a una oficina local del FBI o al Centro de Denuncias de Delitos en Internet (IC3).

Para quienes simplemente navegan por internet, utilizan redes sociales o consultan páginas web, la alerta no implica que sus teléfonos o computadoras estén directamente afectados por estas vulnerabilidades.

El problema se encuentra principalmente en los servidores que procesan las solicitudes de los visitantes. No obstante, si un ciberdelincuente consigue comprometer una página vulnerable, podría acceder a información almacenada en ella, modificar sus contenidos o utilizarla para distribuir archivos maliciosos.

Por ello, la responsabilidad inmediata de aplicar las correcciones corresponde a los administradores de sitios web, empresas de alojamiento y proveedores de servicios tecnológicos.

La dimensión del problema es considerable: PHP está presente en cerca del 70% de los sitios web cuyo lenguaje de programación del servidor puede identificarse.