El equipo de seguridad de PHP informó sobre una actualización de emergencia ante dos fallas críticas que podrían permitir a un atacante tomar el control de un servidor sin necesidad de contraseñas. El aviso, publicado en php.net, calificó ambas vulnerabilidades con una puntuación de 9,2 sobre 10 en CVSS, y la corrección estaba prevista para las 14:00 UTC de este miércoles.

PHP es el motor que sostiene proyectos como WordPress, Drupal, Joomla y Magento, además de numerosos paneles de control de hosting y software que podría no anunciar su uso interno. Según la consultora W3Techs, el lenguaje soporta cerca del 70% de los sitios web cuyo servidor es identificable.

Las dos fallas permiten ejecución de código de forma remota: un atacante podría lograr que el servidor ejecute las órdenes que él escriba sin haber iniciado sesión. PHP no especificó aún qué parte del lenguaje está afectada ni qué configuración activa el problema, señalando que esa información llegará con el parche.

Los organismos de ciberseguridad europeos y de otros países recomendaban precauciones ante la falta de parches: CERT-EU sugirió considerar desconectar los sitios de internet si no se puede aplicar la actualización de inmediato; el Centro Nacional de Ciberseguridad del Reino Unido y la agencia equivalente de Australia emitieron avisos similares.

La noticia salió antes de lo previsto debido a una filtración: watchTowr confirmó en la red social X que los detalles de las vulnerabilidades, pensados para revelarse el jueves mediante divulgación coordinada, se conocieron un día antes a través de una publicación anónima. La firma dijo que las vulnerabilidades son reales y que logró reproducir una de ellas en pruebas, aunque decidió no divulgar los aspectos técnicos hasta que PHP libere el parche. Huntress afirmó que, hasta el martes, no habían detectado explotación en los sistemas de sus clientes.

Dane Knecht, director de tecnología de Cloudflare, comentó en X que ya se observaban ataques tempranos contra clientes de la empresa y que se desplegaron reglas de protección automática como medida provisoria. “Esto es solo un parche temporal. Actualicen apenas PHP libere la solución”, añadió.

El parche solo afectará a las versiones que PHP mantiene actualmente con soporte activo: 8.2, 8.3, 8.4 y 8.5. Las versiones 5, 7 y las primeras ramas de la serie 8 ya no cuentan con soporte de seguridad; sus usuarios deberán migrar a una versión reciente o aislar esos servidores de internet para evitar riesgos.