Los mantenedores de PHP anuncian dos correcciones con severidad 9,2 sobre 10 y piden preparar los servidores antes de que se publiquen, quizá en horas.
Qué ha pasado
El proyecto PHP comunicó el lunes que lanzará correcciones para dos vulnerabilidades, ambas calificadas con 9,2 sobre 10. Según Ars Technica, el aviso llegó tras la filtración de supuestos detalles técnicos, que de momento no han sido confirmados de forma independiente.
Animamos a todos los usuarios de PHP a prepararse ya para poder actualizar en cuanto esté disponible la versión.
Aviso de los mantenedores de PHP (traducción editorial)
Los mantenedores se reservan además el derecho de adelantar la publicación si los detalles se hacen públicos o aparecen pruebas de explotación activa. La filtración incluía un vídeo de una herramienta llamada PHP2Shell ejecutando código en servidores con WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal y WHMCS. watchTowr afirma haber confirmado que los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, son reales y que afectarían a todas las versiones desde PHP 5.
Por qué importa
PHP es una pieza base de la web: mueve gestores de contenidos, tiendas y muchas herramientas internas. Un investigador estima que unos 1,3 millones de hosts conectados a Internet podrían estar afectados. Sansec espera ataques masivos a los 15 minutos de la publicación, y Wordfence y Huntress también piden anticiparse.
Las recomendaciones de preparación son concretas: identificar quién gestiona PHP en la organización, inventariar todas las aplicaciones que lo usan, reservar una ventana de mantenimiento desde las 14:00 UTC con plan por si el lanzamiento se adelanta, hacer copia de archivos y bases de datos, y vigilar la portada de PHP.net. Algunos expertos sugieren incluso desconectar sistemas no esenciales hasta parchearlos. Nuestra recomendación editorial es simple: haced el inventario hoy, no cuando salga el parche.
Qué no sabemos aún
No se ha localizado el informe original de la filtración y los detalles técnicos de las vulnerabilidades siguen sin confirmarse públicamente. Tampoco sabemos si el alcance real coincide con lo mostrado en el vídeo. Hasta que los mantenedores publiquen las versiones corregidas, lo prudente es asumir que el riesgo es real y mantenerse atentos al aviso oficial.
Artículos relacionados de LaRebelión
FortiBleed sigue activa: el FBI alerta sobre 86.644 credenciales Fortinet robadas
LibreOffice y OpenOffice: una hoja de cálculo puede ejecutar código sin avisar
Citrix parchea un zero-day de NetScaler explotado que tumba despliegues SAMLFuente original: arstechnica.com
Artículo generado mediante AI.larebelion
Comentarios
Publicar un comentario