Dos fallos de seguridad de extrema gravedad en PHP se filtraron sin autorización. Permiten ejecutar código remoto (RCE) sin credenciales y afectan a plataformas como Wikipedia, Steam, Spotify y WordPress, que estructura cerca del 25% de los sitios web activos. PHP Foundation trabaja en un parche de emergencia que llegaría este 21 de octubre de 2026.
Se confirmó la filtración no autorizada de dos fallos de seguridad de extrema gravedad en el lenguaje de programación PHP. La tecnología es responsable del procesamiento de lógica del lado del servidor en una porción masiva de la red mundial. También es la base operativa de plataformas de alcance global como Wikipedia, Steam, Spotify y el gestor de contenidos WordPress. Este último se utiliza para estructurar cerca del 25% de las páginas web en funcionamiento activo.
¿Qué permite hacer a los atacantes?
La naturaleza del problema radica en que ambas vulnerabilidades permiten a agentes maliciosos ejecutar código remoto (Remote Code Execution o RCE) sin necesidad de disponer de credenciales de acceso o autenticación previa. La brecha otorga a potenciales atacantes la capacidad de alterar o eliminar bases de datos. También pueden inyectar código dañino para comprometer a los visitantes de los sitios afectados. Incluso pueden desplegar ataques de secuestro de datos (ransomware) para congelar la operatividad de servidores gubernamentales y corporativos.
Steam caído
En la mañana de hoy, Steam se vio afectado y estuvo caído por algunos minutos, probablemente tratando de mantener la seguridad de sus servicios ante la alerta. Aunque ya restableció sus operaciones, es bueno mantenerse alerta ante esta situación.
El parche de emergencia
Ante el riesgo de explotación masiva en la red, la fundación oficial a cargo del desarrollo de PHP, PHP Foundation, confirmó que sus equipos de ciberseguridad se encuentran trabajando de emergencia en el despliegue de los parches de corrección. Se prevé que la actualización de seguridad crítica esté disponible para su implementación a lo largo de este miércoles 21 de octubre de 2026. Mientras tanto, administradores de sistemas y equipos de infraestructura global evalúan interrupciones temporales del servicio para blindar sus plataformas frente a posibles incursiones no autorizadas.