PHP publicó el 21 de octubre correcciones para dos vulnerabilidades críticas que pueden permitir a atacantes no autenticados ejecutar código en servidores web. El equipo de seguridad del proyecto había emitido un aviso preliminar el día anterior, mientras responsables de seguridad del sector de las criptomonedas instaban a los operadores a aplicar el parche y revisar infraestructuras que podrían haber quedado fuera de los controles habituales.
Dos fallos con impacto directo en servidores web
El aviso de seguridad de PHP identifica las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619. Ambas cuentan con una clasificación de gravedad crítica según CVSS v4.0, el sistema utilizado para valorar el impacto y la facilidad de explotación de fallos de seguridad.
El elemento más relevante es que no requieren autenticación. En determinadas condiciones, un atacante podría aprovecharlas para ejecutar código en un servidor web sin disponer previamente de credenciales. Ese tipo de acceso puede comprometer el funcionamiento de los servicios que dependen de PHP, aunque la información disponible no detalla qué versiones concretas están afectadas ni las condiciones técnicas necesarias para explotar los fallos.
La alerta alcanza a la infraestructura vinculada a las criptomonedas
La publicación del parche ha llevado a ejecutivos de seguridad de empresas del ámbito cripto a pedir a los operadores que no se limiten a actualizar los sistemas más visibles. También recomiendan comprobar infraestructuras olvidadas o que no estén incluidas en los procesos ordinarios de mantenimiento, un riesgo habitual en entornos con servidores antiguos, servicios secundarios o aplicaciones desplegadas fuera del inventario principal.
La advertencia previa del 20 de octubre permitió anticipar la llegada de las correcciones, que PHP hizo públicas al día siguiente. El aviso del proyecto confirma la existencia de los dos fallos y su nivel crítico, pero la información facilitada no incluye por ahora detalles adicionales sobre ataques en curso, el número de sistemas afectados o el alcance de una posible explotación.
