• Dos vulnerabilidades críticas en PHP, divulgadas el miércoles, llevaron a empresas y gobiernos a actualizar sistemas o desconectar temporalmente sitios expuestos; PHP sustenta cerca del 70 % de los sitios web.
  • Identificadas como CVE-2026-109618 y CVE-2026-109619, ambas fallas tienen una gravedad de 9,2 sobre 10 y podrían permitir la ejecución remota de código si se explotan con éxito.
  • Tras la divulgación aumentaron los intentos de explotación, pero los análisis disponibles indican que el impacto observado hasta ahora ha sido menor que el temido.

¿Qué respuesta activaron las fallas?

  • El Centro Nacional de Ciberseguridad del Reino Unido instó a actualizar de inmediato los sitios a versiones corregidas; la Agencia de Seguridad Nacional de Estados Unidos pidió mantener una vigilancia reforzada durante las próximas semanas.
  • Decenas de servicios gubernamentales británicos y finlandeses quedaron fuera de línea, y algunos sitios de gobiernos locales franceses fueron desconectados temporalmente. Administradores también recibieron solicitudes de clientes para retirar páginas de internet mientras se coordinaban las actualizaciones.
  • Wiz señaló que sus equipos trabajaron en una solución antes de divulgar el problema. En algunos sistemas con versiones de PHP fuera de soporte, la reparación puede requerir reconstruir aplicaciones y modificar código.

¿Qué se sabe de los intentos de explotación?

  • Investigadores detectaron actividad vinculada a Potassium, una botnet derivada de Mirai. Arctic Wolf observó un intento con una comprobación de ejecución de comandos y la entrega de otra carga maliciosa, pero no encontró pruebas suficientes de que los archivos se descargaran o ejecutaran con éxito.
  • Sophos también observó actividad de Potassium y bloqueó un ataque; la muestra analizada correspondía a una versión actualizada y ampliada de esa variante.
  • Investigadores de VulnCheck señalaron que la mayoría de los exploits publicados no completa la secuencia necesaria para comprometer un sistema: apunta a “display errors”, una configuración de PHP que no suele utilizarse en entornos reales.