Corea del Sur insta a actualizar PHP tras dos fallos que provocan una respuesta internacional de seguridad

Las correcciones de emergencia apuntan a dos vulnerabilidades de un software web de uso generalizado

La Agencia de Internet y Seguridad de Corea del Sur (KISA) instó a los operadores de sitios web a actualizar PHP el 21 de octubre de 2026, después de que se identificaran dos vulnerabilidades de seguridad en un software utilizado para gestionar páginas de inicio de sesión, servicios de compra y foros de debate. Entre los riesgos señalados está la posibilidad de que atacantes ejecuten código en un servidor sin iniciar sesión.

KISA identificó las vulnerabilidades como CVE-2026-109618, relacionada con la gestión inadecuada de situaciones excepcionales, y CVE-2026-109619, relacionada con el uso de memoria después de liberarla. Los umbrales de actualización abarcan cuatro ramas de versiones de PHP: 8.2.35, 8.3.36, 8.4.27 y 8.5.12.

El Ministerio de Ciencia y TIC de Corea del Sur y KISA enviaron solicitudes de seguridad la noche del 21 de octubre a empresas e instituciones de las redes nacionales de ciberseguridad. Las autoridades describieron esas gestiones el 22 de octubre. Se estaba considerando ofrecer asistencia de emergencia para ayudar a las pequeñas empresas a instalar los parches.

Las vulnerabilidades, denominadas en conjunto PHP2Shell, provocaron una respuesta internacional. Según se informó, algunas instituciones gubernamentales de Países Bajos y Finlandia suspendieron sus sitios web como medida preventiva, mientras que las autoridades de ciberseguridad de Europa, Japón y Australia recomendaron actualizarlos. También se informó que organismos de Estados Unidos aconsejaron desconectar los sistemas afectados si no era posible aplicar los parches de inmediato.

¿Qué versiones de PHP requieren atención?

Las recomendaciones de KISA establecen una versión mínima distinta para cada rama de PHP afectada. Una rama es una familia de versiones: por ejemplo, un sitio web que utilice PHP 8.3 necesita la versión corregida de esa familia o una versión posterior compatible.

• PHP 8.2: actualice las versiones anteriores a la 8.2.35.
• PHP 8.3: actualice las versiones anteriores a la 8.3.36.
• PHP 8.4: actualice las versiones anteriores a la 8.4.27.
• PHP 8.5: actualice las versiones anteriores a la 8.5.12.

KISA también advirtió que PHP 8.1 y las versiones anteriores habían llegado al final del soporte oficial de seguridad. Se recomendó a los operadores que utilizan esas versiones pasar a una versión compatible, en lugar de seguir usando un software cuyo mantenimiento oficial de seguridad había concluido.

Para una empresa, el primer paso práctico es averiguar qué versión de PHP funciona en el servidor del sitio web. Es posible que el proveedor de alojamiento gestione ese software, o que la responsabilidad corresponda al equipo interno de tecnología. Actualizar el navegador de una computadora portátil modifica otra parte del sistema.

Qué podrían permitir los dos fallos

CVE-2026-109618 se refiere a situaciones excepcionales, es decir, casos en los que el software encuentra algo fuera de su funcionamiento habitual. Los programas deben gestionar esas situaciones de forma segura. Si esa gestión falla, el software puede comportarse de manera imprevista.

CVE-2026-109619 se describe como una vulnerabilidad de uso después de liberar memoria. El software reserva temporalmente áreas de la memoria de la computadora y las libera cuando ya no las necesita. Este tipo de fallo se produce cuando un programa intenta usar después un área que ya liberó, lo que puede permitirle acceder a datos que han cambiado o que pertenecen a otra operación.

El riesgo señalado es la ejecución remota de código sin autenticación. En términos sencillos, alguien ajeno a un sitio web podría lograr que su servidor ejecutara instrucciones sin introducir un nombre de usuario y una contraseña válidos. Un ataque exitoso podría exponer información, instalar software malicioso o interrumpir servicios.

Los anuncios descritos públicamente no especificaron las configuraciones precisas del servidor ni las condiciones de las solicitudes necesarias para explotar cada vulnerabilidad. Por ello, los operadores deben comprobar qué versiones del software están afectadas y solicitar orientación técnica para sus propias instalaciones.

Por qué WordPress acerca el problema a empresas de todo tipo

PHP funciona en el servidor de un sitio web, no en el teléfono ni en la computadora de quien lo visita. Cuando un cliente solicita consultar el historial de sus pedidos, un programa PHP puede recuperar los registros pertinentes de una base de datos y preparar la página que se envía al navegador. Los sistemas de inicio de sesión, los comentarios y los foros de mensajes pueden funcionar de la misma manera.

WordPress, que ofrece herramientas para crear y gestionar sitios web, también funciona con PHP. Esto vincula la respuesta de seguridad con blogs, sitios web empresariales y tiendas en línea cuyos propietarios quizá rara vez interactúen directamente con el lenguaje de programación subyacente.

Según cifras atribuidas al servicio de medición de tecnologías web W3Techs, PHP se utiliza en alrededor del 75% de los sitios web cuyo lenguaje de programación del servidor puede identificarse. WordPress representa cerca del 43% de todos los sitios web. La cifra de PHP corresponde a un grupo de medición más limitado que la de WordPress: sitios web con un lenguaje de servidor identificable, en lugar de todos los sitios web.

Estas cifras explican el alcance de la respuesta. Muchos sitios web gestionados de forma independiente dependen del mismo software subyacente, por lo que una campaña de corrección puede involucrar al mismo tiempo a instituciones públicas, grandes empresas y pequeñas empresas.

Corea del Sur llega a las empresas a través de dos canales de seguridad

El Ministerio de Ciencia y TIC y KISA dirigieron sus solicitudes del 21 de octubre a los miembros de C-TAS, un sistema de análisis e intercambio de información sobre ciberamenazas, y a las empresas obligadas a registrar a un director de seguridad de la información (CISO).

C-TAS cuenta con unos 5.900 empresas e instituciones participantes. Alrededor de 30.000 empresas están obligadas, en virtud de la legislación surcoreana sobre redes de información y comunicaciones, a designar un CISO y notificarlo al ministerio. Un CISO es el alto cargo responsable de la seguridad de la información de una organización.

Las dos cifras corresponden a grupos distintos de destinatarios, aunque puede haber coincidencias entre ellos. El Gobierno también utilizó el portal público de ciberseguridad de KISA, conocido como Boho Nara, para recomendar actualizaciones de seguridad e instalación de parches.

Las pequeñas empresas afrontan un problema práctico de personal: algunas no tienen empleados capaces de identificar una instalación afectada, organizar una actualización y comprobar después que el sitio web sigue funcionando. Un funcionario del ministerio dijo que el Gobierno había distribuido primero instrucciones de seguridad y estaba considerando ofrecer asistencia de emergencia para instalar los parches. No se anunció una fecha de inicio ni los criterios para acceder a esa asistencia.

Cómo se desarrolló la respuesta

La cronología de los hechos descritos se remonta a una auditoría de seguridad externa realizada en 2024 y culmina con la publicación acelerada de correcciones en octubre de 2026. Las fechas clave son:

• 2024: Según se informó, una auditoría externa detectó indicios de algunos defectos. Se citaron desacuerdos internos y preocupaciones sobre la compatibilidad con el software existente como motivos por los que entonces no se avanzó con el desarrollo de los parches.
• 21 de octubre de 2026: Según se informó, los desarrolladores de PHP publicaron correcciones para dos vulnerabilidades y KISA emitió recomendaciones de actualización.
• Noche del 21 de octubre: Las autoridades surcoreanas enviaron solicitudes de seguridad a través de canales empresariales e institucionales.
• 22 de octubre: Las autoridades surcoreanas describieron las gestiones. También era la fecha prevista inicialmente para publicar los parches.

Según se informó, la publicación de los parches se adelantó un día después de que se filtrara información sobre las vulnerabilidades. También se habrían detectado intentos de ataque antes de que las correcciones se hicieran públicas, lo que aumentó la presión para que los operadores actuaran con rapidez.

El relato de la auditoría de 2024 también pone de relieve un desafío de mantenimiento. Un cambio en un software compartido puede afectar a las aplicaciones construidas en torno a su funcionamiento anterior. Las preocupaciones sobre la compatibilidad pueden dificultar la coordinación de las reparaciones, especialmente cuando un lenguaje da soporte a muchos sitios web y modalidades de alojamiento distintos.

Detección con inteligencia artificial e investigación independiente sobre seguridad

Según se informó, la empresa de ciberseguridad Calif identificó las vulnerabilidades mediante un modelo de OpenAI descrito como GPT-5.6 Sol. Se dijo que los defectos habían pasado inadvertidos durante más de una década.

Según se informó, Wiz, una empresa de ciberseguridad vinculada a Google, encontró y comunicó las dos vulnerabilidades de forma independiente. Ami Luttwak, cofundador de Wiz, las describió como las vulnerabilidades más graves descubiertas mediante inteligencia artificial y afirmó que, sin esa tecnología, habría sido extremadamente difícil detectarlas debido a su complejidad.

OpenAI dijo que durante los dos meses anteriores había coordinado a investigadores y empresas de ciberseguridad para apoyar la respuesta. También pronosticó un fuerte aumento de descubrimientos similares mediante inteligencia artificial en los meses siguientes.

El trabajo inmediato para los operadores de sitios web sigue siendo concreto: identificar el software instalado, aplicar la corrección adecuada y mantener los servicios en funcionamiento. El uso de inteligencia artificial para detectar las vulnerabilidades añade otro elemento a la historia, junto con la investigación independiente, la coordinación entre desarrolladores y la distribución de los parches.

Por qué algunas autoridades recomendaron desconectar los sitios

Según se informó, la Agencia de Seguridad Nacional de Estados Unidos instó a las organizaciones que utilizan PHP a actualizar de inmediato y advirtió que la explotación de las vulnerabilidades podría dar a los atacantes acceso al sistema de archivos o a la base de datos de un servidor. Recomendó desconectar los sistemas afectados hasta resolver las vulnerabilidades si no era posible actualizarlos de inmediato.

Según se informó, el FBI emitió recomendaciones similares y advirtió sobre la ejecución remota de código y la posible exposición de información y redes sensibles. Algunas instituciones gubernamentales de Países Bajos y Finlandia suspendieron sus sitios web como medida preventiva.

Desconectar un sitio web tiene un costo inmediato: los visitantes pierden acceso a los servicios que ofrece. En el caso de una tienda, esto puede interrumpir las ventas; en el de una institución pública, dejar fuera de servicio información o formularios en línea. La recomendación refleja la gravedad de mantener accesible un servidor vulnerable mientras se espera una reparación.

Cloudflare dijo que estaba actualizando sus medidas de protección para adaptarlas a las vías de ataque. Aun así, se siguió recomendando a los operadores de sitios web que instalaran las correcciones de PHP y actualizaran el software subyacente a las versiones indicadas en la respuesta de seguridad.

Qué deben hacer ahora los operadores

Los operadores de sitios web deben averiguar quién controla la instalación de PHP y comparar su versión con los umbrales indicados por KISA. Las organizaciones que utilizan un proveedor de alojamiento necesitan que este confirme la versión del servidor y los planes de actualización. Los equipos que gestionan sus propios servidores deben encargarse directamente del cambio.

Las empresas que utilizan WordPress deben incluir el entorno de ejecución de PHP en esta comprobación, junto con el mantenimiento habitual del sitio web. PHP es una capa de software independiente que funciona por debajo del sistema de gestión de contenidos, por lo que conocer solo la versión de WordPress deja parte de la instalación sin verificar.

Los operadores que utilizan PHP 8.1 o versiones anteriores deben pasar a una versión compatible. Quienes ya utilizan una rama afectada necesitan la versión corregida correspondiente o una versión posterior adecuada y compatible. Probar funciones esenciales, como el inicio de sesión de clientes, la consulta de pedidos y los pagos, ayuda a detectar problemas del servicio durante la actualización.

Puntos clave

• KISA emitió recomendaciones de actualización de seguridad para PHP el 21 de octubre de 2026 e identificó CVE-2026-109618 y CVE-2026-109619.
• Los umbrales de actualización indicados son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
• KISA recomendó a los usuarios de PHP 8.1 y versiones anteriores pasar a una versión compatible.
• Entre los riesgos señalados está la posibilidad de que atacantes ejecuten código de forma remota sin iniciar sesión.
• Corea del Sur contactó a miembros de redes de seguridad y a empresas obligadas a designar un CISO.
• Se estaba considerando ofrecer asistencia de emergencia para instalar parches a las pequeñas empresas surcoreanas.
• Las autoridades internacionales recomendaron actualizar el software y algunas aconsejaron suspender temporalmente los servicios cuando no fuera posible instalar los parches de inmediato.