La firma de seguridad blockchain SlowMist emitió una alerta de seguridad crítica para exchanges de criptomonedas, plataformas de finanzas descentralizadas (DeFi) y proveedores de wallets de todo el mundo tras descubrirse dos vulnerabilidades graves en PHP, el lenguaje de programación del lado del servidor ampliamente utilizado que, según se informa, impulsa alrededor del 70 por ciento de todos los sitios web. Las fallas podrían permitir a atacantes ejecutar código de forma remota en servidores vulnerables. Dado que PHP sustenta una parte tan grande de la web, las debilidades en el lenguaje mismo pueden afectar cualquier aplicación construida sobre él, sin importar la calidad del código de la propia aplicación.

Según un comunicado de SlowMist, el sistema de inteligencia de amenazas MistEye de la empresa realizó un escaneo global de infraestructuras basadas en PHP en el sector de las criptomonedas después de que se conocieran las vulnerabilidades.

Las dos fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron cada una una puntuación de riesgo de 9.2 sobre 10 en el sistema CVSS 4.0, una calificación que las clasifica como una amenaza de seguridad crítica. CVSS es el marco estandarizado utilizado en la industria de la seguridad para calificar la gravedad de las vulnerabilidades, y las puntuaciones de 9.0 o superiores caen en su categoría más severa.

Ejecución de código sin autenticación

Según expertos en seguridad, las vulnerabilidades podrían, bajo ciertas condiciones, permitir a atacantes ejecutar código malicioso en servidores vulnerables sin necesidad de ninguna autenticación. La autenticación suele ser la primera barrera que limita quién puede acceder a las funciones de un servidor, por lo que las fallas que la eluden se tratan con especial urgencia, especialmente en sistemas expuestos a internet público.

Los detalles técnicos muestran que la primera vulnerabilidad se origina en cómo PHP maneja la escasez de memoria, mientras que la segunda surge de la posibilidad de utilizar datos de memoria expirados entre solicitudes del servidor.

Si se explotan con éxito, las fallas podrían permitir a atacantes comprometer la infraestructura del servidor y acceder a datos sensibles. El riesgo potencial se considera especialmente alto para las plataformas de criptomonedas que ofrecen servicios relacionados con cuentas de usuario y transacciones financieras. El episodio también subraya que la seguridad en el sector de las criptomonedas va más allá de los protocolos blockchain y abarca la infraestructura web convencional que sustenta a exchanges, wallets y aplicaciones DeFi.

Actualizaciones de seguridad críticas publicadas

El 21 de octubre, el equipo de desarrollo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para abordar las dos vulnerabilidades de seguridad. Las versiones cubren las ramas de PHP mantenidas activamente, lo que significa que los operadores de cada rama soportada cuentan con una versión corregida correspondiente.

SlowMist ha instado a las empresas de criptomonedas a revisar las versiones de PHP que ejecutan en sus servidores, priorizando los sistemas accesibles a través de internet, y a instalar las actualizaciones de seguridad con prontitud.

Los desarrolladores de PHP añadieron que depender únicamente de restricciones de acceso o medidas de seguridad temporales es insuficiente, y que aplicar los parches correspondientes es esencial para una protección integral.

*Esto no es un consejo de inversión.