La PHP Foundation admite que un fallo estructural retrasó la solución

La PHP Foundation declaró que el retraso en la corrección de una de las dos vulnerabilidades críticas en el lenguaje de programación PHP "fue un fallo estructural". La organización admitió esto el miércoles 21 de octubre, después de que se lanzaran parches de emergencia y gobiernos de todo el mundo desconectaran sitios web como medida de precaución, informó Reuters a través de The Standard. Según la fundación, un investigador encontró los primeros indicios de un fallo en 2024, pero en ese momento no se halló una forma concreta de explotarlo y se dio prioridad a otros problemas con un impacto más claro.thestandard.com.hk

Una solución estancada durante meses

En una entrada de blog citada por LWN, la fundación explicó que su equipo de seguridad propuso varias soluciones contrapuestas. Cada una tenía un coste: una rompía la compatibilidad con versiones anteriores, otra creaba un nuevo riesgo de denegación de servicio y una tercera requería cambios en muchas extensiones de terceros. El equipo tomaba decisiones por consenso y "temía las repercusiones de elegir la opción equivocada", escribió. Debido a que no se conocía ninguna ruta para la ejecución remota de código y a que los pocos desarrolladores principales que conocen bien el motor tenían muchas otras obligaciones, el trabajo "se estancó y se reinició repetidamente durante meses". "No fingiremos lo contrario: el retraso fue un fallo estructural, causado tanto por el proceso de toma de decisiones del equipo de seguridad como por su falta de recursos", señaló la fundación.lwn.net

El problema volvió a ser urgente el 11 de agosto. Ese día, la firma de seguridad Calif y OpenAI informaron de forma independiente sobre la misma causa raíz, y Calif demostró que podía ejecutar código de forma remota sin condiciones, informó Cointelegraph. La fundación señaló que, desde entonces, ha cambiado las decisiones de seguridad de un sistema de consenso a uno de mayoría simple y ha contratado a dos ingenieros más. También instó a las empresas y gobiernos que dependen de PHP a contribuir al pago de las labores de seguridad, informó The Next Web. El lanzamiento se adelantó un día después de que los identificadores de vulnerabilidad se filtraran en línea, y la fundación criticó a Chainguard por publicar imágenes parcheadas antes del lanzamiento coordinado.tradingview.com+1

Sitios web a oscuras

Los errores, apodados PHP2Shell, se rastrean como CVE-2026-109618 y CVE-2026-109619. Están corregidos en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y toda instalación de PHP que sirva peticiones web está potencialmente afectada, informó The Register. Agencias de ciberseguridad de EE. UU., Reino Unido, Canadá, Australia y la Unión Europea ordenaron a los operadores de sitios web que los desconectaran hasta que pudieran actualizarlos, informó Cybersecurity Dive. El periodista de seguridad Brian Krebs estimó que casi el 70 por ciento de los sitios web necesitan la actualización.theregister.com+2

Los Países Bajos cerraron su servicio de identidad digital. El proveedor estatal de TI de Finlandia, Valtori, desconectó servicios web públicos, y Francia desconectó temporalmente sitios web de prefecturas, informó Cointelegraph. La Fundación Wikimedia también desconectó algunos servicios de soporte. Coinbase ↗ 3.65% afirmó que no encontró instancias de PHP expuestas.tradingview.com

La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de EE. UU. declaró que "no ha observado la explotación de estas vulnerabilidades" al publicar su aviso. Sin embargo, advirtió que "suponen un riesgo para las organizaciones si no se aplican los parches", según Reuters.thestandard.com.hk