PHP publica parches de emergencia por dos fallos críticos
El equipo de PHP liberó una actualización urgente que corrige dos vulnerabilidades de severidad crítica. La comunidad sigue de cerca un reporte, aún sin confirmar, sobre un exploit de ejecución remota de código.
El equipo de PHP publicó una actualización de emergencia destinada a cerrar dos vulnerabilidades calificadas como críticas, registradas como CVE-2026-109618 y CVE-2026-109619. La liberación se distribuyó de forma urgente, fuera del calendario habitual de mantenimiento del lenguaje.
Ambas fallas afectan a instalaciones de PHP, el lenguaje que sostiene buena parte de los sitios web y las API en producción, incluidos ecosistemas como WordPress. Mientras no se aplique el parche, cualquier servicio que ejecute una versión vulnerable queda expuesto, por lo que la recomendación estándar es actualizar y verificar la versión en cada servidor.
Al mismo tiempo circula un reporte, todavía no confirmado oficialmente, sobre un exploit bautizado PHP2Shell, capaz de ejecutar código de forma remota en sitios escritos en PHP. La existencia de un exploit público eleva la urgencia: si el vector se confirma, la ventana entre el aviso y los intentos de ataque se reduce a horas. Organismos de respuesta a incidentes en Europa ya emitieron advertencias sobre el caso.
Para los equipos de desarrollo y operaciones, el episodio refuerza una rutina que conviene automatizar: inventariar las versiones del lenguaje en cada servicio, aplicar el parche, revisar registros en busca de actividad anómala y mantener un plan de reversión probado. Actualizar un intérprete de forma masiva no es trivial, pero es la diferencia entre exposición y control.
Fuente: Ars Technica / The Verge.