Vulnerabilidades

PHP publica parches de urxencia para dous fallos críticos que afectan a webs e tendas en liña

PHP, a linguaxe de WordPress e de moitas webs e tendas en liña, publicou o 21 de outubro parches para dous fallos críticos que poden permitir tomar o control do servidor sen contrasinal. Os detalles filtráronse antes e xa hai informes de intentos de ataque. Se tes web, pregúntalle ao teu provedor.

Por Redacción de DefentriaPublicado o 22 de outubro de 20263 min de lectura

PHP — Proxecto de software afectado (linguaxe de programación web)

Editor de código coa árbore de ficheiros dun proxecto web nunha pantalla escura — Imaxe: Ferenc Almasi en Unsplash (Licenza de Unsplash)

En 30 segundos

PHP publicou o 21 de outubro as versións 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrixen dous fallos críticos (CVE-2026-109618 e CVE-2026-109619, puntuación 9,2 sobre 10) que poden permitir executar código no servidor sen credenciais.
Segundo PHP, están en risco «todas as instalacións de PHP que serven peticións web», e actualizar é a única solución completa.
Os detalles filtráronse o 20 de outubro, antes do parche. watchTowr e Cloudflare informan de intentos de ataque; a data do 21 de outubro non hai intrusións confirmadas.
PHP 8.1 e anteriores xa non reciben actualizacións oficiais: as webs que as usan deben migrar.

Afectame?

Aféctache se a túa empresa ten unha web, tenda en liña, intranet ou programa de xestión que funcione con PHP, algo moi habitual: WordPress, Drupal, Joomla ou Magento úsano. A actualización adoita depender do teu hosting ou da axencia que mantén a web. Non che afecta se a túa web non usa PHP. Non hai vítimas españolas confirmadas.

Que pasou

O 21 de outubro de 2026, o equipo de seguridade de PHP publicou un aviso titulado «Vulnerabilidades críticas de execución remota de código, actualiza xa». PHP é a linguaxe sobre a que funcionan WordPress, Drupal, Joomla ou Magento.

As novas versións 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrixen dous fallos, CVE-2026-109618 e CVE-2026-109619, coñecidos como «PHP2Shell». Segundo PHP, ambos os dous «poden permitir a execución remota de código sen autenticación»: un atacante podería executar as súas propias ordes no servidor web sen necesidade de usuario nin contrasinal. O proxecto pídelles a «todos os usuarios de PHP» que actualicen «de inmediato».

O 20 de outubro, PHP anunciara os parches para o día seguinte. Segundo Huntress e The Hacker News, ese mesmo día filtrouse información sobre os fallos, antes de que houbese corrección.

Logotipo de PHP. Fonte: Wikimedia Commons (dominio público)

Que sabemos

Que está en risco (segundo PHP): todas as instalacións de PHP que atenden peticións web, incluídas as configuracións máis habituais en servidores e hostings (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed). PHP considera maior o risco con mod_php.
Gravidade: PHP puntúa ambos os dous fallos con 9,2 sobre 10 (CVSS v4.0) e cualifícaos de críticos.
Versións corrixidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As distribucións de Linux recibiron os parches por adiantado, así que os provedores poden ter xa paquetes actualizados.
Versións antigas: PHP 8.1 e anteriores xa non reciben actualizacións do proxecto. PHP 8.2 deixa de ter soporte o 31 de decembro de 2026.
Medidas temporais: PHP publica axustes de configuración que reducen a exposición, pero advirte de que «non fan segura unha instalación»: «actualizar é a única opción segura».

Que non sabemos aínda

Se xa hai webs comprometidas. Segundo The Hacker News, a empresa watchTowr informou o 21 de outubro de «intentos de explotación activos» de ambos os dous fallos, e Cloudflare de «ataques incipientes». Huntress, en cambio, non observara explotación nos sistemas que vixía ás 16:30 (hora do leste dos EUA) dese día. Ningunha fonte confirmou unha intrusión con éxito, e os fallos aínda non figuraban no catálogo de vulnerabilidades explotadas de CISA.
Se hai vítimas en España. Non hai ningunha confirmada.

Por que importa

O fallo non está nun complemento nin nunha web concreta, senón no propio PHP. Iso significa que unha web ben feita e con todos os seus complementos ao día pode seguir exposta se o PHP do servidor non se actualizou.

Ademais, a filtración recortou a marxe habitual entre o parche e os primeiros ataques. Cando os detalles circulan antes da corrección, o tempo de reacción mídese en días.

Que significa para unha peme

Nunha empresa pequena, a web case nunca a xestiona alguén de dentro: adoita estar nun hosting compartido ou nun servidor que montou unha axencia hai anos. É habitual que ninguén na empresa saiba que versión de PHP ten.

Unha web comprometida non é só un problema de imaxe: pode conter os datos de clientes da tenda, formularios de contacto ou o acceso a unha intranet. E se hai datos persoais afectados, pode haber obriga de notificalo á AEPD.

Que debería facer a túa empresa esta semana

Fai inventario: web corporativa, tenda en liña, intranet, área de clientes, programas de xestión con acceso web. Apunta quen mantén cada unha.
Pregúntalle ao teu hosting ou axencia se usan PHP e se xa está en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou nunha versión co parche do seu provedor de Linux). Pide a resposta por escrito.
Se usades PHP 8.1 ou anterior, non hai versión oficial corrixida: pide un plan de migración con data. Mentres tanto, que apliquen as medidas temporais que publica PHP.
Pide que revisen sinais de intrusión desde o 20 de outubro, sobre todo se a actualización tarda.
Comproba que hai unha copia de seguridade recente da web e que se pode restaurar.

Se non tes claro que servizos da túa empresa están expostos a internet nin quen os actualiza, é xusto o que revisa unha auditoría de ciberseguridade.

Fontes

Redacción de Defentria. O equipo de Defentria selecciona novas de ciberseguridade a partir de fontes primarias (CERT, organismos oficiais e fabricantes) e explica que significan para unha peme española e que facer ao respecto.

CompartirLinkedIn X WhatsApp