El equipo de seguridad de PHP anunció la liberación de un parche de emergencia ante dos vulnerabilidades de alto impacto que podrían permitir a un atacante tomar el control de un servidor sin necesidad de iniciar sesión. En el aviso publicado el martes en php.net, ambas fallas fueron calificadas con una puntuación de 9,2 sobre 10 en la escala CVSS. La corrección está prevista para las 14:00 UTC de este miércoles.

PHP es el motor detrás de WordPress, Drupal, Joomla y Magento, además de paneles de control de hosting y otros softwares que suelen permanecer ocultos. Según la consultora W3Techs, el lenguaje sostiene cerca del 70% de los sitios web cuyo programa de servidor puede identificarse.

Las dos vulnerabilidades permitirían ejecutar código de forma remota: un atacante podría lograr que el servidor ejecute las órdenes que él mismo escriba, sin haber iniciado sesión. PHP no detalló aún qué parte del lenguaje está afectada ni qué configuración activa el fallo; esa información se divulgará junto con el parche.

CERT-EU, el organismo de ciberseguridad de la Unión Europea, recomendó a las organizaciones que no puedan aplicar la actualización de inmediato considerar desconectar sus sitios hasta contar con la corrección instalada. El Centro Nacional de Ciberseguridad británico (NCSC) y la agencia equivalente de Australia emitieron alertas similares.

La noticia llegó antes de lo previsto por una filtración: la firma watchTowr afirmó en la red X que los detalles de las fallas —pensados para revelarse el jueves en un acuerdo de divulgación coordinada— se conocieron un día antes. WatchTowr aseguró que las vulnerabilidades son reales y que logró reproducir una de ellas en un entorno de pruebas, aunque decidió no difundir los aspectos técnicos hasta que el parche esté disponible. Huntress, por su parte, afirmó que hasta el martes no detectó que las fallas estuvieran siendo explotadas en los sistemas de sus clientes.

Dane Knecht, director de tecnología de Cloudflare, indicó en X que ya se observaban “ataques tempranos” contra sus clientes y que se desplegaron reglas de protección automática como medida provisoria. “Esto es solo un parche temporal. Actualicen apenas PHP libere la solución definitiva”, advirtió.

El parche alcanza únicamente a las versiones que PHP mantiene con soporte activo: 8.2, 8.3, 8.4 y 8.5. Las versiones 5, 7 y las primeras ramas de la serie 8 quedaron sin soporte de seguridad desde hace tiempo, por lo que sus usuarios deberán migrar a una versión reciente o aislar esos servidores de Internet.