Resumen:
El equipo de seguridad de PHP acaba de emitir una alerta de seguridad de emergencia. El equipo lanzará una actualización de seguridad de emergencia para corregir dos vulnerabilidades de seguridad de alto riesgo a las 22:00 del 21 de octubre de 2026. Los detalles oficiales de la vulnerabilidad aún no se han anunciado, pero según las noticias que circulan en Internet, la versión anterior de PHP tiene una vulnerabilidad de ejecución remota de código y solo se necesita la configuración de instalación predeterminada para activar la vulnerabilidad.
El equipo de seguridad de PHP declaró que se recomienda que todos los usuarios actualicen a la última versión inmediatamente después del lanzamiento de la actualización. La versión afectada, la versión de reparación y algunos detalles se anunciarán después del lanzamiento de la nueva versión. El funcionario también afirmó que si los detalles de la vulnerabilidad se revelan con anticipación o surgen evidencias de explotación salvaje, no se descarta que se publique con anticipación una versión reparada.
Los números de vulnerabilidad conocidos actualmente son CVE-2026-109618 y 109619, y las puntuaciones de vulnerabilidad son ambas de 9,2. Según el plan de reparación, el equipo de PHP solo proporcionará actualizaciones de seguridad para la serie PHP 8. Las versiones anteriores, como PHP 5.6 y 7.x, no podrán recibir actualizaciones. No se sabe si habrá una solución de mitigación para entonces.
PHP se utiliza mucho, pero muchos sitios web todavía utilizan versiones anteriores que han sido descontinuadas. Los datos de Cyberspace Insights muestran que aproximadamente el 59,4% de los 1,5 millones de hosts PHP expuestos utilizan versiones anteriores de PHP que no pueden obtener actualizaciones. Cuando se solucione la nueva versión, los piratas informáticos pronto descubrirán las vulnerabilidades principales y lanzarán ataques.
Por lo tanto, una gran cantidad de sitios web pueden ser atacados debido a vulnerabilidades de PHP. Este incidente es extremadamente dañino. Se recomienda que los usuarios que utilizan PHP presten atención a la actualización de la versión publicada a las 10 de la noche. Si es necesario, pueden incluso cerrarse con antelación para esperar la actualización.
Comentarios