Londres, RD Herald. – Una alerta internacional de ciberseguridad mantiene en vigilancia a administradores de servidores, empresas tecnológicas, instituciones gubernamentales y propietarios de páginas web, después de que se confirmaran dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de sitios de internet.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir que atacantes ejecuten código malicioso de manera remota en servidores vulnerables, incluso sin disponer de credenciales de acceso.
El problema ha provocado la emisión de advertencias de organismos especializados y la publicación de actualizaciones de emergencia.
Este viernes 23 de octubre, los responsables de PHP difundieron una recomendación adicional relacionada con determinadas configuraciones de sesiones y carga de archivos.
¿Por qué es tan grave esta vulnerabilidad?
PHP es un lenguaje utilizado para procesar información en los servidores donde funcionan millones de páginas web.
Entre las plataformas que utilizan esta tecnología se encuentra WordPress, uno de los sistemas de administración de contenidos más extendidos del mundo.
Las vulnerabilidades detectadas pueden afectar directamente el entorno donde se ejecutan las aplicaciones.
Esto significa que un sitio podría estar expuesto aunque sus administradores hayan actualizado los temas y complementos de WordPress.
La gravedad del problema radica en que determinados ataques pueden producirse antes de que los mecanismos habituales de seguridad de una aplicación intervengan.
Los especialistas advierten que una explotación exitosa podría permitir el acceso no autorizado a información, la modificación de archivos o la ejecución de programas maliciosos.
Sin embargo, la existencia de una vulnerabilidad no significa que todos los sitios que utilizan PHP hayan sido atacados.
Publican actualizaciones de emergencia
El equipo responsable de PHP publicó el miércoles 21 de octubre cuatro versiones destinadas a corregir las vulnerabilidades.
Las versiones de seguridad son:
- PHP 8.5.12.
- PHP 8.4.27.
- PHP 8.3.36.
- PHP 8.2.35.
Los administradores deben comprobar qué versión utilizan sus servidores y aplicar la actualización correspondiente.
Las instalaciones antiguas, especialmente aquellas que utilizan versiones sin mantenimiento de seguridad, requieren atención adicional.
Las autoridades europeas de ciberseguridad recomendaron dar prioridad a los sistemas conectados directamente a internet.
También aconsejaron coordinar las actualizaciones con los proveedores de alojamiento web.
WordPress emite una advertencia especial
La comunidad oficial de WordPress publicó el 21 de octubre un aviso dirigido a los administradores de sitios.
El comunicado aclara que las vulnerabilidades no se originan específicamente en WordPress, sino en PHP, la tecnología utilizada por el servidor.
Por esa razón, actualizar únicamente WordPress no constituye una solución suficiente.
Los propietarios de páginas pueden consultar la versión de PHP desde el panel administrativo, en la sección de herramientas correspondiente a la salud del sitio.
Posteriormente, deben verificar con su proveedor de alojamiento si las actualizaciones de seguridad ya fueron instaladas.
En determinados casos, la actualización debe realizarla directamente el administrador del servidor.
Nueva advertencia publicada este viernes
El 23 de octubre, el equipo de PHP recomendó desactivar temporalmente una función relacionada con el seguimiento del progreso de carga de archivos en sesiones.
La recomendación responde a una combinación poco habitual de configuraciones que podría mantener abierta una vía de ataque.
Los desarrolladores explicaron que esta situación requiere condiciones específicas y que se publicará una corrección adicional durante el ciclo ordinario de mantenimiento.
La medida no sustituye las actualizaciones de seguridad ya distribuidas.
¿Qué significa para los medios digitales dominicanos?
Los periódicos digitales, emisoras, comercios electrónicos y otras organizaciones que utilizan páginas basadas en PHP deben comprobar el estado de sus servidores.
La prioridad consiste en verificar las versiones instaladas, mantener respaldos actualizados y revisar los registros de seguridad.
También resulta importante confirmar que el proveedor de alojamiento haya aplicado las correcciones.
Hasta el momento, las fuentes oficiales consultadas no permiten afirmar que exista una afectación generalizada de páginas dominicanas.
La recomendación principal es actualizar PHP inmediatamente y no asumir que una página está protegida únicamente porque WordPress y sus complementos estén al día.
