Alerta mundial por dos fallas críticas de PHP: permiten ejecutar código sin contraseña

Los desarrolladores de PHP liberaron actualizaciones de emergencia para corregir dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación en servidores expuestos a internet.

Infraestructura digital utilizada por servicios y aplicaciones web. Imagen de archivo.

Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 contienen las correcciones. El proyecto PHP pidió a todos los administradores actualizar de inmediato.

El riesgo alcanza instalaciones que atienden solicitudes web mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto considera especialmente delicado el escenario con mod_php.

Una de las fallas había sido identificada originalmente en 2024, pero su potencial de explotación no quedó claro entonces. La Fundación PHP reconoció problemas en el proceso de seguimiento.

Agencias de ciberseguridad y proveedores de infraestructura comenzaron a emitir avisos para que organizaciones y administradores actualicen sus servidores antes de que los fallos sean explotados de forma masiva.