Las agencias de ciberseguridad de la UE piden aplicar ya los parches de dos fallos críticos de PHP

La Comisión Europea (DG CNECT), ENISA, CERT-EU, el centro de ciberdelincuencia de Europol (EC3) y la red de CSIRT de la UE publicaron el 21 de octubre, según ENISA, una recomendación conjunta sobre dos vulnerabilidades en PHP, el lenguaje con el que funciona una gran parte de las webs. Según ENISA, los fallos podrían permitir a un atacante ejecutar código malicioso de forma remota en servidores vulnerables sin necesidad de autenticarse. El equipo de seguridad de PHP publicó las actualizaciones ese mismo día a las 13:40 UTC, según la misma nota.

Las agencias recomiendan localizar todas las aplicaciones basadas en PHP, incluidas las que lo usan internamente sin que sea visible, coordinarse con los proveedores de alojamiento y aplicar los parches empezando por los sistemas expuestos a internet. Si no es posible corregirlos de inmediato, ENISA aconseja valorar aislar de las redes públicas las aplicaciones expuestas hasta poder actualizarlas.

Según el Centro Canadiense de Ciberseguridad, las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35; PHP 8.1 y anteriores ya no reciben parches oficiales. El 23 de octubre ese organismo añadió un tercer fallo relacionado, CVE-2026-115560, todavía sin corrección, para el que el equipo de PHP recomienda desactivar la opción session.upload_progress.enabled.

Varias administraciones retiraron webs de forma preventiva. Según Reuters, el Ministerio del Interior francés desconectó temporalmente las webs de las prefecturas a la espera del parche, y la agencia australiana AAP informó de cierres preventivos en Alemania, Finlandia, Bélgica y en webs del instituto de salud pública neerlandés RIVM.

El grado de explotación real no está claro. El organismo canadiense indicó que existe una prueba de concepto pública pero no había detectado explotación activa. El SANS Internet Storm Center recogió el 23 de octubre que Cloudflare y Amazon observaban un gran número de intentos de explotación, aunque sin constancia de que fueran ataques eficaces ni de explotación masiva.