El Buró Federal de Investigaciones (FBI) de Estados Unidos ha emitido una alerta sobre dos graves vulnerabilidades en PHP, un lenguaje de programación ampliamente utilizado en el desarrollo de sitios y aplicaciones web. Según la División Cibernética del FBI, estas fallas, identificadas con los nombres CVE-2026-109618 y CVE-2026-109619, podrían permitir a delincuentes informáticos ejecutar código de manera remota, comprometer información confidencial y poner en riesgo las redes informáticas.
La agencia ha informado que las vulnerabilidades afectan al núcleo de PHP y podrían ser aprovechadas para introducir instrucciones maliciosas en los sistemas. La calificación de estas fallas es de 9.2 en la escala CVSS, lo que representa un nivel crítico, subrayando la urgencia de las organizaciones para corregir estas vulnerabilidades.
El FBI recomienda a los usuarios afectados que actualicen sus sistemas de inmediato. Si no se puede realizar la actualización, se sugiere desconectar los servidores hasta que se puedan corregir las fallas. La agencia también insta a las organizaciones a revisar todas las instalaciones de PHP, especialmente aquellas conectadas directamente a internet y los productos de otros proveedores que utilizan este lenguaje.
Además, se recomienda vigilar los servidores para detectar actividades sospechosas, como procesos de PHP que ejecuten inesperadamente intérpretes de comandos o descarguen archivos. Si se identifican estas conductas, se debe aislar el sistema afectado, conservar los registros de actividad y reportar el incidente a las autoridades pertinentes.
Esta alerta es de relevancia internacional, dado que PHP se utiliza en el desarrollo de muchas páginas y aplicaciones web. Por tanto, el riesgo no se limita a Estados Unidos y también puede afectar a organizaciones de otros países, incluyendo México, que utilizan versiones vulnerables de PHP.
La publicación del FBI se basa en avisos oficiales de PHP, el boletín de seguridad CERT-EU 2026-018 y el catálogo de vulnerabilidades explotadas de la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA). Estas referencias proporcionan información técnica y recomendaciones actualizadas para la corrección de estas vulnerabilidades.
About the Author
