Dos vulnerabilidades críticas en PHP ponen en riesgo millones de páginas web y servidores

La detección de dos fallos críticos de seguridad en PHP ha generado una alerta global entre administradores de sistemas, proveedores de hosting y equipos de ciberseguridad. La preocupación radica en el enorme alcance de esta tecnología, utilizada por millones de servidores web para ejecutar aplicaciones, servicios backend y gestores de contenidos como WordPress.

Los expertos consideran que la criticidad del incidente no reside únicamente en la gravedad técnica de las vulnerabilidades, sino en el hecho de que afectan a una de las tecnologías más extendidas de Internet, lo que multiplica exponencialmente la superficie de exposición.

 

Una vulnerabilidad que permite tomar el control de los servidores

PHP continúa siendo una de las tecnologías fundamentales sobre las que funciona gran parte de Internet. Su utilización en plataformas web, portales corporativos, aplicaciones empresariales y sistemas de gestión de contenidos provoca que cualquier vulnerabilidad crítica tenga un impacto potencial masivo.

Según el análisis realizado por investigadores de seguridad, las vulnerabilidades detectadas pueden facilitar ataques de ejecución remota de código (RCE), una de las categorías más peligrosas dentro del ámbito de la ciberseguridad. Este tipo de explotación permite a un atacante ejecutar instrucciones directamente sobre el sistema afectado sin necesidad de disponer previamente de credenciales válidas.

En la práctica, los ciberdelincuentes podrían instalar código malicioso, desplegar web shells, modificar configuraciones críticas o incluso obtener el control completo de servidores comprometidos.La situación resulta especialmente preocupante porque los ataques podrían realizarse de forma no autenticada, reduciendo significativamente las barreras de entrada para los atacantes.

Los especialistas advierten de que, mientras no se apliquen los parches oficiales, cualquier servidor accesible desde Internet que utilice versiones afectadas podría encontrarse en situación de riesgo. La amplitud del ecosistema PHP también aumenta la velocidad con la que este tipo de amenazas pueden propagarse entre organizaciones de todo el mundo.

“Dado el papel de PHP en el funcionamiento de millones de servidores web en todo el mundo, esta podría convertirse en una de las vulnerabilidades más importantes de 2026", afirma Para Sergey Lozhkin, Head of Research Center for APAC and META en Kaspersky GReAT. “La puntuación de gravedad de 9,2 confirma el carácter crítico del problema y eleva el nivel de riesgo para las organizaciones que dependen de esta tecnología”.

 

El parche está en camino, pero la ventana de riesgo sigue abierta

El equipo de desarrollo de PHP trabaja ya en la publicación de las actualizaciones necesarias para corregir las vulnerabilidades. Sin embargo, los especialistas recuerdan que el periodo comprendido entre la divulgación del fallo y la instalación de los parches suele ser uno de los momentos más delicados desde el punto de vista de la seguridad.

Durante esa ventana temporal, los cibercriminales intentan aprovechar la información pública disponible para desarrollar herramientas de explotación y localizar sistemas vulnerables antes de que sean actualizados.

Según Lozhkin, "hasta que se aplique dicho parche, cualquier servidor expuesto a Internet que utilice una versión afectada de PHP podría estar expuesto a ataques no autenticados".

El experto de Kaspersky advierte de que la explotación exitosa de estas vulnerabilidades podría derivar en escenarios especialmente peligrosos. "El impacto potencial es considerable: si se explota con éxito, esta vulnerabilidad podría permitir la ejecución remota de código, una de las formas más graves de compromiso de un sistema. En la práctica, los atacantes podrían ejecutar código malicioso en los sistemas afectados, incluida la instalación de web shells, lo que les permitiría obtener el control de los servidores vulnerables", explica.

Los web shells son herramientas habitualmente utilizadas por atacantes para mantener acceso persistente a sistemas comprometidos y ejecutar comandos de forma remota incluso después de la intrusión inicial.

Los especialistas coinciden en que la velocidad de respuesta será determinante para reducir el alcance potencial del incidente. Dada la enorme presencia de PHP en infraestructuras críticas, aplicaciones empresariales y servicios web, las organizaciones deberán monitorizar la disponibilidad de actualizaciones y proceder a su instalación tan pronto como sea posible.

En palabras de Sergey Lozhkin, "este tipo de incidentes puede propagarse rápidamente por el panorama global de la ciberseguridad, especialmente cuando afecta a tecnologías tan ampliamente utilizadas. Por este motivo, la respuesta debe ser inmediata y contundente". El investigador concluye que aquellas organizaciones cuya infraestructura dependa de PHP deberían priorizar la aplicación de los parches tan pronto como estén disponibles para minimizar la exposición y proteger los sistemas críticos.