El 21 de octubre de 2026, la NSA publicó un aviso sobre PHP. Instó a las organizaciones que utilizan este lenguaje a instalar cuanto antes las actualizaciones que corrigen dos vulnerabilidades críticas. El aviso recomienda desconectar los sistemas hasta que estén plenamente mitigados si no pueden actualizarse de inmediato.
El boletín del proyecto PHP identifica CVE-2026-109618 y CVE-2026-109619, dos fallos que pueden permitir la ejecución remota de código sin autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quienes utilicen paquetes de una distribución o de un proveedor de soporte ampliado deben consultar las actualizaciones de ese proveedor. PHP 8.1 y las versiones anteriores ya no reciben correcciones de seguridad del proyecto.
El proyecto PHP indica que instalar una versión corregida es la única solución completa; las medidas provisionales pueden reducir algunas vías de ataque sin proteger por completo el sistema.
¿Por qué nos concierne?
Las vulnerabilidades citadas afectan a PHP. No demuestran que un servicio de Fondation UvH utilice una versión vulnerable; esta nota no es una auditoría de su infraestructura. Recuerdan que la seguridad de los servicios digitales también depende del inventario y la actualización de sus componentes de software, además de la evaluación de los modelos de inteligencia artificial.