Están disponibles actualizaciones de seguridad de emergencia para dos vulnerabilidades críticas en PHP, el lenguaje de programación que impulsa muchos sitios web y aplicaciones web.
PHP es un lenguaje de programación que trabaja en una gran parte de la web. Es la base de WordPress, Drupal, Joomla, Magento y muchas otras aplicaciones, incluido el software cuyos usuarios pueden no darse cuenta de que PHP está involucrado.
Las vulnerabilidades, conocidas como PHP2Shell, se rastrean como CVE-2026-109618 y CVE-2026-109619. Ambas tienen una calificación de gravedad de 9.2 sobre 10.
PHP2Shell se ejecutaría con los permisos disponibles para el proceso PHP y podría permitir a los atacantes ejecutar código malicioso en un servidor afectado, sin iniciar sesión. Podrían robar datos comerciales, alterar el contenido del sitio web, utilizar un sitio web confiable para dirigirse a los visitantes con páginas de phishing y descargas maliciosas, o establecer una puerta trasera.
El equipo de PHP dice que todas las instalaciones de PHP que atienden solicitudes web están en riesgo. En algunas configuraciones, un atacante puede desencadenar un exploit incluso antes de que se ejecute el código del sitio web.
El equipo de PHP ha publicado correcciones en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Se recomienda actualizar de inmediato.