PHP está preparando una actualización de seguridad crítica programada para el 21 de octubre de 2026, tras identificar dos vulnerabilidades que ambas recibieron una puntuación CVSS v4 de 9.2, lo que las sitúa en la categoría de gravedad crítica. La PHP Foundation anunció el próximo lanzamiento el 20 de octubre, instando a los usuarios a prepararse para actualizar de inmediato, y advirtió que las correcciones podrían llegar antes de lo planeado si los detalles del exploit se hacen públicos o surge evidencia de explotación activa.

El lanzamiento está fijado para las 14:00 UTC, equivalente a las 15:00 BST. Junto con el anuncio de la PHP Foundation, el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido instó a las organizaciones a identificar los sistemas vulnerables y prepararse para aplicar los parches tan pronto estén disponibles. Cuando no sea posible una remediación rápida, dijo el organismo, las organizaciones deberían considerar desconectar los sistemas afectados hasta que los riesgos puedan mitigarse.

El aviso anticipado brinda a los administradores una ventana de preparación

La advertencia temprana de la PHP Foundation está diseñada para dar a los administradores tiempo de prepararse antes de que las correcciones de seguridad estén disponibles. Dado que el lanzamiento podría adelantarse con poca antelación, la preparación no puede esperar a que los parches se publiquen.

PHP, o PHP Hypertext Preprocessor, es un lenguaje de scripting del lado del servidor ampliamente utilizado para construir sitios web y aplicaciones web. Procesa la lógica del backend, interactúa con bases de datos y genera contenido dinámico antes de enviar las páginas a los navegadores de los usuarios. Ese papel generalizado hace que la seguridad de PHP sea importante para las organizaciones que operan sitios y aplicaciones expuestos a internet, ya que las vulnerabilidades del lenguaje pueden exponer los sistemas que dependen de él, según la naturaleza de los fallos y su explotabilidad.

El NCSC recomienda identificar todos los sistemas que ejecutan PHP en la infraestructura de una organización, dando prioridad a los sistemas expuestos a internet porque son directamente accesibles desde el exterior. Los administradores también deben monitorear esos sistemas en busca de actividad sospechosa y seguir la guía oficial de PHP. El organismo aconseja además seguir atento a las actualizaciones de proveedores externos cuyos productos o servicios incluyan PHP.

La PHP Foundation compartió su aviso anticipado en X:

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Cómo podría afectar la actualización a los operadores de sitios web

El lanzamiento planificado crea una ventana inmediata de preparación para equipos de seguridad, proveedores de hosting y operadores de aplicaciones. Una vez que los parches estén disponibles, los administradores deben evaluar los sistemas afectados e instalar las actualizaciones correspondientes con prontitud.

La PHP Foundation también advirtió a los usuarios que dependen del repositorio Remi RPM, mantenido por voluntarios, que las actualizaciones no estarán disponibles allí el día del lanzamiento. Recomienda cambiar a los paquetes de la distribución o compilar PHP desde el código fuente para aplicar las correcciones de inmediato. Esta advertencia es relevante para los operadores cuyos procesos de parcheo dependen de ese repositorio, ya que su capacidad de actualizar rápidamente podría depender de disponer de antemano de un método de instalación alternativo.

El NCSC recomienda además desconectar los sistemas cuando la remediación inmediata no sea viable. Esa precaución puede reducir la exposición mientras los administradores trabajan hacia una corrección completa, aunque puede afectar la disponibilidad del sitio web.

Para las empresas de cripto, los exchanges y los proveedores de wallets que ejecutan infraestructura basada en PHP, aplican los mismos principios de preparación. Cualquier servicio afectado podría enfrentar riesgos de seguridad si los administradores retrasan la remediación después de que los parches estén disponibles. La prioridad inmediata es la preparación, seguida de un parcheo rápido y una vigilancia continua.

Hasta que llegue la actualización de seguridad y se conozcan sus detalles técnicos, los administradores deben seguir la guía oficial de la PHP Foundation y del NCSC en lugar de asumir qué sistemas son vulnerables.

Este artículo se basa en la cobertura de Blockonomi.