El equipo de seguridad de PHP publicó hoy, 21 de octubre, correcciones de emergencia para dos vulnerabilidades críticas. Ambas permitirían que un atacante ejecute código en un servidor sin necesidad de iniciar sesión. Las dos fallas tienen una puntuación de 9,2 sobre 10 en la escala CVSS v4.0, y PHP pidió actualizar apenas estuviera disponible la versión corregida.
PHP es el lenguaje que funciona detrás de WordPress, Drupal, Joomla y Magento. También está presente en plataformas de alojamiento compartido y paneles de control, incluso en programas que no lo anuncian. Por eso, el alcance potencial es enorme.
La alerta se agravó por un reporte con videos de una herramienta llamada PHP2Shell, que ejecutaba código en servidores con las últimas versiones de WordPress, MediaWiki, Drupal y otros sistemas. La firma watchTowr afirmó haber confirmado la falla y sostuvo que afecta a todas las versiones desde PHP 5, lanzado en 2004. Los organismos CERT-EU y ACSC, de Australia, también advirtieron que podrían estar expuestas todas las ramas desde PHP 5.
CERT-EU recomendó que las organizaciones que no puedan aplicar la actualización de inmediato consideren desconectar sus sitios hasta instalar el parche. La Fundación PHP añadió que adelantaría el lanzamiento si los detalles se hacían públicos o aparecían pruebas de explotación activa.
Versiones corregidas y quiénes quedan fuera
Las versiones con la solución son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según el equipo de PHP, ninguna medida alternativa resuelve por completo el problema, de modo que actualizar es la única opción segura. Los servidores Apache con mod_php enfrentan el mayor riesgo.
Las ramas 5, 7 y las primeras de la serie 8 llevan tiempo sin soporte de seguridad. Quienes las usen no recibirán una solución oficial y deberán migrar a una versión vigente o aislar esos servidores de internet.
Qué deben hacer los administradores
Actualizar WordPress o sus plugins no modifica la versión de PHP, así que el cambio debe hacerlo el proveedor de alojamiento. Para revisar la versión, se puede abrir Herramientas > Salud del sitio > Información > Servidor. Si el hosting permite cambiar de versión desde cPanel, conviene confirmar que la elegida incluya el parche.
Los usuarios comunes tienen poco que hacer, porque no necesitan actualizar navegadores ni aplicaciones. La responsabilidad recae en quienes administran servidores y sitios propios.
