El equipo de PHP, el lenguaje con el que funciona buena parte de la web, publicó el miércoles 21 las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos fallas críticas que pueden permitir ejecutar código a distancia sin autenticación, según su aviso de seguridad. PHP pide a todos sus usuarios actualizar de inmediato.
Según php.net, están en riesgo todas las instalaciones de PHP que atienden peticiones web, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php, donde hay un ataque demostrado en el que una petición sin autenticar lo dispara antes de que se ejecute el código de la aplicación.
Las fallas son la CVE-2026-109618, ligada al manejo de la falta de memoria, y la CVE-2026-109619, por un estado interno que puede sobrevivir de una petición a otra. PHP 8.1 y las versiones anteriores ya no reciben actualizaciones oficiales; el equipo de seguridad publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1, y recomienda pasar a una versión con soporte. Las distribuciones de Linux recibieron los parches por adelantado.
Según La Prensa de Monagas, las dos fallas tienen una puntuación CVSS de 9,2 (crítica), y la División Cibernética del FBI pidió actualizar de inmediato.
Información de La Prensa de Monagas (Vítor Jaime de Oliveira) y php.net.