FBI alerta por fallas críticas que ponen en riesgo sitios de internet
La División Cibernética del Buró Federal de Investigaciones (FBI) de Estados Unidos ha emitido una alerta sobre dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para la elaboración de sitios web y aplicaciones en línea. Estas fallas podrían permitir a delincuentes informáticos ejecutar código a distancia y poner en peligro la información confidencial y las redes informáticas.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan al núcleo de PHP y representan un riesgo para los servidores que utilizan instalaciones vulnerables de este lenguaje de programación. Según la alerta, estas fallas podrían ser aprovechadas para ejecutar instrucciones maliciosas en los sistemas afectados.
La alerta del FBI califica estas vulnerabilidades con un 9.2 en la escala CVSS, que es utilizada internacionalmente para medir la gravedad de las vulnerabilidades informáticas. Esta puntuación refleja un riesgo crítico, lo que implica que las organizaciones que utilizan PHP deben revisar sus instalaciones y aplicar las actualizaciones de seguridad pertinentes de inmediato.
Las recomendaciones del FBI son claras: cuando no sea posible actualizar los sistemas de inmediato, las organizaciones deben considerar desconectar esos servidores hasta que las vulnerabilidades puedan ser corregidas completamente. Además, se sugiere actualizar las instalaciones de PHP en línea con las indicaciones publicadas en el sitio oficial de PHP, php.net, y identificar todos los sistemas donde se utiliza este lenguaje, especialmente aquellos que están conectados directamente a internet y aquellos que utilizan productos de otros proveedores que incorporan PHP.
Otra medida consiste en vigilar los servidores para detectar actividades sospechosas, particularmente procesos de PHP que ejecuten inesperadamente intérpretes de comandos o descarguen archivos. Estas conductas podrían indicar que un atacante intenta aprovechar las vulnerabilidades.
En caso de encontrar señales de una posible intrusión, el FBI recomienda aislar los sistemas afectados, conservar los registros de actividad de los servidores y reportar el incidente a las autoridades correspondientes. La conservación de esos registros puede resultar crucial para investigar el ataque y determinar si la información se ha visto comprometida.
La alerta tiene una dimensión internacional debido a que PHP es utilizado en el desarrollo de numerosas páginas web y aplicaciones. El riesgo no se limita a Estados Unidos y también puede afectar a organizaciones públicas, empresas, comercios electrónicos y medios de comunicación de otros países, incluido México, que utilizan versiones vulnerables de PHP.
La principal advertencia para los administradores de páginas web es que las actualizaciones de seguridad deben ser prioritarias, especialmente cuando una vulnerabilidad puede permitir que personas no autorizadas ejecuten instrucciones dentro de los servidores que almacenan información y mantienen en funcionamiento los servicios digitales.
