PHP publica una actualización urgente tras dos fallos críticos: Japón suspende servicios para proteger sus webs

Dos fallos críticos en PHP, el lenguaje que sostiene parte de los servicios de internet, han desencadenado una operación urgente de actualización y cierres preventivos de páginas. El equipo del proyecto publicó las correcciones el miércoles 21 de octubre. Este jueves, el Ayuntamiento de Kioto anunció la suspensión de algunos formularios y servicios de su web mientras comprueba sus sistemas y aplica los parches.

La advertencia se dirige a quienes administran servidores, desde organismos públicos hasta comercios y proveedores de alojamiento. Las vulnerabilidades pueden permitir que alguien ejecute instrucciones en un servidor sin identificarse previamente. No basta, por tanto, con proteger el acceso al panel de administración con una contraseña: el problema está en el software que procesa las peticiones de la web.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Cada una corresponde a una rama distinta del lenguaje. El aviso oficial pide actualizar inmediatamente y advierte que las medidas temporales para reducir la exposición no sustituyen la instalación de una solución completa.

Kioto detiene formularios, sin confirmar una intrusión

El Ayuntamiento explicó que la suspensión alcanza a formularios de consultas, inscripciones en eventos y encuestas de su portal Kyoto City Information Center. Entre ellos figuran los canales para escribir al alcalde y realizar consultas municipales. Otros sitios también pueden permanecer interrumpidos mientras se verifica su seguridad.

A las 15:00 del 22 de octubre, hora japonesa, Kioto no había confirmado alteraciones, filtraciones ni accesos indebidos en los servidores que gestiona. La administración presentó el cierre como una medida para proteger la información, no como la consecuencia de un robo de datos ya demostrado. Los servicios afectados permanecerían detenidos hasta que se confirmara su seguridad.

Esa precaución refleja el dilema de muchas organizaciones: mantener disponibles los trámites mientras actualizan una pieza que funciona por debajo de la página visible. Una interrupción puede impedir temporalmente enviar una solicitud, pero también evita seguir exponiendo un servicio mientras se comprueba qué versión utiliza y cómo actualizarla.

El riesgo está detrás de la página que ve el usuario

PHP trabaja en el servidor. Puede intervenir al generar una página, recibir un formulario o consultar información, aunque el visitante no vea su nombre. La Administración para la Ciberseguridad de Taiwán recordó este jueves que es parte de la infraestructura de gestores como WordPress, Drupal, Joomla y Magento, y que también puede estar incorporado en productos que no lo anuncian expresamente.

Eso no significa que todas las instalaciones de esos productos hayan sufrido una intrusión. Significa que sus responsables deben comprobar la situación del componente subyacente. Actualizar una aplicación y actualizar el entorno que la ejecuta son tareas relacionadas, pero no necesariamente equivalentes.

El aviso de PHP abarca instalaciones que atienden peticiones web mediante distintos sistemas, incluidos PHP-FPM y Apache con mod_php. Los desarrolladores consideran especialmente elevado el riesgo en este último entorno. Los fallos afectan al tratamiento de la memoria y al estado interno de las peticiones: bajo determinadas condiciones, permiten que el servidor utilice datos que ya no debería considerar válidos.

Los identificadores son CVE-2026-109618 y CVE-2026-109619. La autoridad taiwanesa les atribuye una puntuación de gravedad de 9,2 sobre 10. Es una valoración técnica del peligro, no un recuento de víctimas ni una medida de cuántas páginas han sido comprometidas.

Una corrección que llegó después de años de dificultades

La Fundación PHP reconoció que los primeros indicios del problema que desembocó en una de las vulnerabilidades aparecieron en 2024, durante trabajos relacionados con una auditoría externa. Entonces se planteó una posible explotación, pero todavía no se había encontrado una vía concreta para ejecutarla.

Resolver el defecto resultó difícil porque algunas propuestas comprometían la compatibilidad, podían abrir otras posibilidades de interrupción o exigían cambios en numerosas extensiones. La fundación admite que el proceso de decisión y la falta de recursos especializados hicieron que la solución se estancara y se retomara varias veces.

Nuevos informes recibidos en agosto de 2026 demostraron el alcance del riesgo y convirtieron la corrección en una prioridad. La organización describe cambios en su equipo de seguridad y en la forma de tomar decisiones para evitar que un problema semejante vuelva a quedar pendiente durante tanto tiempo.

La respuesta también tiene una dimensión de organización: muchas instituciones dependen de una tecnología compartida, pero la seguridad de esa infraestructura exige equipos capaces de investigar, coordinar y distribuir las reparaciones.

Qué deben comprobar empresas y administraciones

La recomendación es identificar la versión utilizada y confirmar con el proveedor la disponibilidad del parche. PHP 8.1 y las ramas anteriores ya no reciben nuevas versiones ordinarias del proyecto; algunos distribuidores ofrecen correcciones adaptadas. Sus clientes deben verificar esa cobertura, en vez de deducirla únicamente del número que aparece en el sistema.

Heroku, por ejemplo, anunció las nuevas versiones y pidió volver a desplegar las aplicaciones para incorporarlas. También comunicó una adaptación para su entorno antiguo de PHP 8.1, aunque recomendó migrar a una rama con soporte. El procedimiento depende, por tanto, del servicio contratado y de quién gestiona efectivamente el servidor.

La autoridad taiwanesa aconseja revisar registros y accesos anómalos después de actualizar, y comprobar cuentas y credenciales si aparecen indicios sospechosos. Instalar el parche cierra el defecto conocido; no demuestra por sí solo qué ocurrió antes. Para el visitante, la señal más visible puede ser una página temporalmente cerrada. Para quien la administra, el trabajo termina cuando ha verificado la actualización y puede restablecer el servicio con seguridad.