Agencia de la UE advierte que podría ser necesario desconectar sitios web mientras PHP prepara parches

Los desarrolladores del lenguaje de programación PHP publicaron el miércoles parches para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619 y calificadas con 9,2 en la escala CVSS v4.0, que permiten la ejecución remota de código sin autenticación en servidores vulnerables. CERT-EU recomendó a las organizaciones que no puedan aplicar las correcciones de inmediato considerar desconectar los sitios afectados; la Comisión Europea, ENISA, CERT-EU, el EC3 de Europol y la red de equipos nacionales de respuesta a incidentes emitieron una declaración conjunta, y el Centro Australiano de Ciberseguridad difundió una guía similar. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, mientras PHP 8.1 y anteriores ya no reciben soporte y requieren migración. PHP está presente en alrededor de 69% de los sitios web, según W3Techs; Cloudflare reportó los primeros intentos de explotación y varios sitios gubernamentales en Europa fueron desconectados de forma preventiva. Según Wiz, empresa de ciberseguridad de Alphabet, las fallas fueron descubiertas mediante inteligencia artificial.