ALERTA CRÍTICA DE CIBERSEGURIDAD: detectadas dos graves vulnerabilidades en PHP que requieren actualización inmediata

21 de octubre de 2026 | Isla Cloud Solutions | Ciberseguridad

INCIBE-CERT advierte de dos vulnerabilidades críticas en PHP que podrían permitir a atacantes ejecutar código de forma remota en servidores web afectados, sin necesidad de autenticación. Las actualizaciones de seguridad ya están disponibles.

El Instituto Nacional de Ciberseguridad (INCIBE) ha publicado una alerta de máxima criticidad, identificada como INCIBE-2026-762, relacionada con dos vulnerabilidades de seguridad en PHP, uno de los lenguajes de programación más utilizados en Internet.

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, presentan una puntuación de gravedad de 9,2 sobre 10 (CVSS v4.0).

Su explotación podría permitir la ejecución remota de código malicioso con los privilegios del proceso web, comprometiendo potencialmente la seguridad de los sistemas y de la información alojada.

Además, ya se han comunicado ataques contra servidores PHP anteriores a la publicación de las actualizaciones.

¿Qué sistemas pueden verse afectados?

El problema afecta al propio motor PHP, por lo que pueden estar expuestos servidores y aplicaciones web que utilicen versiones vulnerables, incluyendo infraestructuras que alojan WordPress, PrestaShop y otras aplicaciones desarrolladas en PHP.

Entre los entornos potencialmente afectados se encuentran servidores que utilizan PHP-FPM, Apache mod_php, php-cgi, LiteSpeed o FrankenPHP.

Versiones corregidas disponibles:

PHP 8.2: actualizar a 8.2.35
PHP 8.3: actualizar a 8.3.36
PHP 8.4: actualizar a 8.4.27
PHP 8.5: actualizar a 8.5.12

Las versiones anteriores a estas revisiones dentro de cada rama están afectadas. Las ramas PHP 8.1 y anteriores requieren especial atención al encontrarse fuera del mantenimiento regular del proyecto, aunque algunos proveedores ofrecen parches de seguridad específicos.

¿Qué medidas deben adoptarse?

Desde Isla Cloud Solutions recomendamos actuar con carácter prioritario:

Revisar las versiones de PHP utilizadas por los servidores y aplicaciones web.
Aplicar inmediatamente las actualizaciones de seguridad correspondientes, verificando también los parches facilitados por los proveedores de sistemas operativos y soporte extendido.
Comprobar la compatibilidad y funcionamiento de las aplicaciones después de las actualizaciones.
Revisar registros y eventos de seguridad para identificar posibles indicios de explotación.
Reforzar las medidas de protección y monitorización, especialmente en sistemas accesibles públicamente.

Las mitigaciones temporales pueden reducir determinados riesgos, pero no sustituyen la instalación de las versiones corregidas.

La importancia de una infraestructura actualizada y protegida

Este incidente demuestra la necesidad de mantener una política continua de actualización, supervisión y protección de los sistemas informáticos.

En Isla Cloud Solutions ayudamos a empresas y organizaciones a proteger sus infraestructuras mediante servicios especializados de administración de servidores, cloud hosting, mantenimiento de sistemas y ciberseguridad.

La prevención, la actualización continua y la capacidad de respuesta son esenciales para garantizar la seguridad y disponibilidad de los servicios digitales.

Si tu organización utiliza servidores o aplicaciones basadas en PHP y necesita revisar su exposición a estas vulnerabilidades, nuestro equipo técnico puede ayudarte a evaluar el riesgo y planificar las medidas necesarias.

Isla Cloud Solutions — Infraestructura Cloud, Sistemas y Ciberseguridad.

Fuente oficial: Aviso INCIBE-CERT: Múltiples vulnerabilidades en PHP