• El equipo de seguridad de PHP publicó el 21 de octubre de 2026 parches para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619.
  • Los fallos, conocidos como PHP2Shell, podrían permitir ejecutar código remotamente en servidores vulnerables sin autenticación y acceder a archivos o bases de datos.
  • Las vulnerabilidades afectan instalaciones de PHP que procesan solicitudes web; los desarrolladores indicaron que PHP 8.2 y versiones posteriores reciben parches oficiales.

¿Qué deben hacer las organizaciones?

  • La NSA recomendó actualizar los sistemas y desconectarlos temporalmente si no es posible aplicar la corrección de inmediato.
  • El FBI instó a identificar todas las instalaciones de PHP y priorizar los servidores accesibles desde redes públicas.
  • El fallo recibió una puntuación de 9,2 sobre 10 en CVSS 4.0; las recomendaciones europeas también aconsejaron aislar aplicaciones expuestas mientras no estén corregidas.

¿Qué servicios fueron desconectados?

  • Países Bajos retiró temporalmente de internet sitios públicos como Overheid.nl, MijnOverheid.nl y DigiD; su centro de ciberseguridad dijo inicialmente que no tenía señales de explotación activa.
  • Finlandia suspendió servicios web gubernamentales, mientras que páginas de organismos de otros países europeos también quedaron fuera de línea.
  • La Fundación Wikimedia informó que desconectó preventivamente algunos sistemas; partes de Wikipedia dejaron de estar disponibles el miércoles mientras se preparaban las correcciones.