La NSA advierte sobre dos vulnerabilidades graves en PHP y pide actualizaciones inmediatas

La Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtió sobre dos vulnerabilidades graves en el lenguaje de programación PHP que podrían permitir a atacantes ejecutar comandos de forma remota y tomar el control de servidores de sitios web y aplicaciones, según un informe seguido por la Agencia de Noticias de Irak.

El informe señaló que la advertencia fue emitida el miércoles y que las dos vulnerabilidades fueron identificadas como (CVE-2026-109618) y (CVE-2026-109619), con una calificación de 9.2 sobre 10, y que el riesgo radica en que las fallas están en el propio lenguaje PHP y no en complementos o sistemas de gestión de contenidos concretos.

El informe advirtió que la explotación de las vulnerabilidades podría dar acceso a datos sensibles como contraseñas, tokens de seguridad y claves de interfaces de programación (API), y también permitiría manipular el contenido de sitios y acceder a información de usuarios.

Pruebas de seguridad mostraron que es posible explotar las vulnerabilidades en entornos que utilizan sistemas de gestión de contenidos como WordPress, Drupal y Joomla, aunque las fallas no están en esos sistemas en sí, sino en el lenguaje de programación en el que se basan.

El informe señaló que el descubrimiento contó con la participación de equipos de investigación especializados, entre ellos las empresas Calif y Weiz, en colaboración con el equipo de desarrollo de PHP y la compañía OpenAI, y que herramientas de inteligencia artificial contribuyeron a analizar los errores de programación y a detectar vías de explotación.

Añadió que algunos de los errores que causan estas vulnerabilidades datan de hace más de diez años, pero la complejidad para explotarlos impidió que su gravedad se detectara antes.

El equipo de desarrollo de PHP emitió actualizaciones de seguridad urgentes para corregir las vulnerabilidades, que cubren las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y el informe instó a las instituciones y a los administradores de sitios a instalar estas actualizaciones de inmediato, advirtiendo que las medidas preventivas temporarias no ofrecen protección completa.