Fallos en PHP: las autoridades aconsejan desconectar webs
El miércoles, organismos públicos, hospitales, universidades y gobiernos de varios países europeos desconectaron sus webs por precaución. Dos fallos críticos en PHP pueden permitir ejecutar código sin autenticación. Varias autoridades aconsejaron desconectar sistemas sin actualización inmediata. Además, plataformas para desarrolladores notificaron ataques contra las credenciales de sus clientes.
Lo esencial en breve
- Varias autoridades de ciberseguridad aconsejaron desconectar los sistemas. CISA, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, y CERT-EU, el servicio de ciberseguridad de las instituciones de la UE, recomendaron desconectar los sistemas PHP si no podían actualizarse de inmediato.
- Los errores llevaban más de una década en el código. Según Wiz Research, los modelos de IA de frontera ayudaron a encontrarlos y a desarrollar formas de explotarlos.
- Varias plataformas para desarrolladores notificaron intrusiones. En Zeabur se filtraron datos de 321.810 cuentas. Railway recomendó a todos sus usuarios renovar las claves almacenadas en la plataforma.
Relacionado: OpenSSL: qué deben demostrar ahora los fabricantes · Simon Gooch: los agentes de IA necesitan un mecanismo de parada probado
Webs desconectadas por precaución
El miércoles estaba previsto publicar a las 16 horas de Alemania un parche para dos vulnerabilidades críticas de PHP. La BSI, la Oficina Federal de Seguridad de la Información de Alemania, pidió instalarlo de inmediato a esa hora. CERT.at, el equipo austriaco de respuesta a emergencias informáticas, aconsejó identificar los sistemas PHP y programar una ventana de actualización para las 16:00 horas.
Según W3Techs, PHP se utiliza en el 69,3 por ciento de las webs cuyo lenguaje de programación del lado del servidor se conoce. Fuente
En Berlín estuvieron desconectadas temporalmente las webs del Instituto Robert Koch, del Servicio Federal de Inteligencia (BND), de la Oficina Federal de Investigación Criminal (BKA), de Aduanas y de la Policía Federal. En Brandeburgo dejaron de estar disponibles, entre otras, las webs del hospital Ernst von Bergmann, de la Universidad de Potsdam y de la comisaría virtual de la policía. Algunos portales volvieron a estar operativos después de las 17 horas. Un portavoz del Ministerio Federal de Digitalización afirmó que ITZBund, el proveedor de servicios informáticos de la Administración federal, había desconectado varias webs por precaución. No se tenía constancia de incidentes de seguridad.
En Renania del Norte-Westfalia no se podía acceder a las webs de numerosos hospitales, entre otros en Colonia, Bonn, Düsseldorf y Bielefeld. En la Oficina Regional de Servicios Policiales Centrales, servicios como la presentación de denuncias por internet estuvieron interrumpidos durante horas. Todos los afectados subrayaron que se trataba de una medida preventiva.
La Universidad de Viena desconectó sus servicios informáticos centrales y los restableció gradualmente tras la actualización. El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) desconectó su propia web. Según Reuters, hicieron lo mismo el puerto de Róterdam, el portal gubernamental Overheid.nl y numerosos hospitales. En Francia se desconectaron las webs de las prefecturas; en Finlandia, los servicios web públicos del Gobierno. El Gobierno checo hizo lo mismo a las 19 horas locales. La Wikimedia Foundation desconectó deliberadamente servicios como Toolforge y Cloud VPS. En Japón, la primera ministra Sanae Takaichi calificó la desactivación temporal de funciones de las webs como una medida eficaz para reducir el riesgo.
¿Qué es la ejecución remota de código? La ejecución remota de código, o Remote Code Execution, designa una vulnerabilidad que permite a un atacante ejecutar a distancia su propio código en un sistema ajeno. Si no requiere autenticación, basta con acceder al servicio afectado. En el caso de PHP2Shell, afecta a todas las instalaciones PHP que atienden solicitudes web.
Desconectar como recomendación oficial
La agencia estadounidense de ciberseguridad CISA aconsejó aplicar los parches de inmediato a los sistemas PHP. Junto con la Agencia de Seguridad Nacional (NSA) y la Oficina Federal de Investigación (FBI), instó a desconectar los sistemas que no pudieran protegerse rápidamente. CERT-EU recomendó aislar de la red pública las aplicaciones accesibles hasta instalar y verificar la corrección. El Centro Nacional de Ciberseguridad británico (NCSC) exigió actuar de inmediato y migrar a versiones con soporte. La Oficina Federal de Ciberseguridad de Suiza (BACS) llamó la atención sobre las aplicaciones y los dispositivos que utilizan PHP como componente.
| Hecho | Fuente |
|---|---|
| NSA, FBI y CISA pidieron conjuntamente a las organizaciones que corrigieran las dos vulnerabilidades y advirtieron de que debían desconectar los sistemas que no pudieran protegerse rápidamente. | Fuente |
| CERT-EU aconseja aislar de la red pública las aplicaciones accesibles desde internet hasta instalar y verificar la corrección, si no es posible aplicar el parche de inmediato. | Fuente |
| CERT.at recomendó identificar los sistemas con PHP, programar una ventana de actualización para las 16:00 horas y, si fuera posible, considerar apagarlos. | Fuente |
| El NCSC británico exigió a las organizaciones actuar de inmediato. Señaló que estaban afectadas las organizaciones con cualquier versión de PHP y que quienes utilizaran versiones antiguas debían migrar a una versión con soporte. | Fuente |
| La Oficina Federal de Ciberseguridad de Suiza, BACS, aconseja actualizar de inmediato los sistemas afectados y revisar, además de los servidores web, las aplicaciones y los dispositivos que utilizan PHP como componente. | Fuente |
PHP se ejecuta en el 69,3 por ciento de las webs cuyo lenguaje de programación del lado del servidor se conoce. Están afectadas todas las instalaciones PHP que atienden solicitudes web. PHP 8.1 y las versiones anteriores no reciben versiones oficiales corregidas. Para 7.4, 8.0 y 8.1, el equipo de seguridad de PHP publicó backports mínimos del código fuente, es decir, correcciones trasladadas como código fuente a ramas antiguas. Algunas distribuciones y proveedores de soporte a largo plazo (LTS) también ofrecen paquetes corregidos.
Los detalles se habían filtrado el martes antes de la publicación coordinada. Según watchTowr, el embargo, el plazo acordado durante el que no debía publicarse la información, vencía el jueves. CISA afirmó que hasta el momento de la publicación no había observado ninguna explotación.
Errores antiguos y herramientas de IA
El par de vulnerabilidades recibe el apodo PHP2Shell en referencia a Log4Shell. Lo descubrieron Wiz.io y Calif.io, con la participación de OpenAI. Según Wiz Research, los modelos de IA de frontera, los sistemas de IA más avanzados en cada momento, ayudaron a encontrar las vulnerabilidades y a desarrollar formas de explotarlas. Los errores llevaban más de una década en el código y afectan a versiones que se remontan a PHP 5.4. Según Wiz, sin IA, la cadena de ataque habría rozado los límites de lo que los investigadores humanos pueden lograr en la práctica.
Ese mismo día, GitLab corrigió una vulnerabilidad en la compilación de expresiones regulares, patrones utilizados para buscar texto. Tiene una puntuación de 10,0 en el Sistema Común de Puntuación de Vulnerabilidades (CVSS) y permite a atacantes no autenticados ejecutar código en el servidor bajo determinadas condiciones. Afecta a todas las versiones desde la 7.0. La versión 7.0 se publicó en junio de 2014, por lo que la vulnerabilidad se remonta a hace doce años. Node.js publicó actualizaciones para las ramas 22.x, 24.x y 26.x, entre otras cosas para corregir una ejecución remota de código en el decodificador Brotli de datos comprimidos.
Ataques contra plataformas para desarrolladores
La versión 1.107.0 de LiteLLM, una biblioteca de pasarela de IA, había sido comprometida. Todos los wheels de PyPI, los paquetes de instalación preparados del repositorio de paquetes de Python, contenían un programa para robar credenciales. Se ejecutaba cada vez que se iniciaba el intérprete de Python y recopilaba, entre otros datos, claves del protocolo Secure Shell (SSH), credenciales de acceso a AWS, Azure y Google Cloud, y tokens de Kubernetes. LiteLLM confirmó que el incidente estaba contenido. Ya en marzo de 2026 habían sido comprometidas las versiones 1.82.7 y 1.82.8.
| Hecho | Fuente |
|---|---|
| La versión 1.107.0 de LiteLLM, una biblioteca de pasarela de IA, había sido comprometida: todos los wheels de PyPI contenían un programa para robar credenciales y un cargador de código externo, que se ejecutan automáticamente cada vez que se inicia el intérprete de Python, sin necesidad de importar LiteLLM. También estaban afectadas las etiquetas de Docker latest, main-latest y main-stable. | Fuente |
| La plataforma de alojamiento Railway informó de que una persona no autorizada podría haber accedido a variables de entorno cifradas de sus clientes y descifrado parte de ellas. Railway suspendió todos los despliegues y recomendó a todos sus usuarios renovar todas las variables de entorno, claves de interfaces de programación de aplicaciones (API) y credenciales de registros de contenedores almacenadas en la plataforma. | Fuente |
| Zeabur anunció su cierre en su blog y habló de un segundo incidente de seguridad. Los primeros servicios finalizarán el 1 de diciembre de 2026 y todos los servidores dedicados y clústeres compartidos dejarán de funcionar a más tardar el 31 de diciembre de 2026. | Fuente |
| Según PingCAP, los registros copiados contenían, entre otros datos, nombres de usuario, direcciones de correo electrónico, información contractual y de precios, y una tabla con claves API cifradas de TiDB Cloud. PingCAP no ha confirmado las afirmaciones de los atacantes sobre otras credenciales. | Fuente |
Según Railway, una persona no autorizada podría haber accedido a variables de entorno cifradas de los clientes de esta plataforma de alojamiento y descifrado parte de ellas. Las variables de entorno son valores de configuración que una plataforma proporciona a las aplicaciones. Railway suspendió todos los despliegues y recomendó a todos sus usuarios renovar todas las variables, claves API y credenciales de registros de contenedores almacenadas allí. La empresa vincula el incidente a una serie de ataques contra empresas de plataformas cuyo objetivo son los proveedores de inferencia de IA.
La plataforma Zeabur ya confirmó el 17 de octubre su segundo incidente de seguridad en dos meses. Un atacante utilizó credenciales internas almacenadas en texto sin cifrar y robó datos de 321.810 cuentas y unos 3,2 millones de registros con variables de entorno. Los tokens de administrador no se habían renovado desde enero de 2024. La plataforma cerrará a más tardar a finales de diciembre de 2026. En PingCAP, una persona no autorizada accedió a sistemas internos entre el 09 de septiembre y el 07 de octubre de 2026 con credenciales robadas de una cuenta de servicio y copió, entre otros datos, claves API cifradas de TiDB Cloud.
Tres medidas para prepararse ante la próxima vulnerabilidad crítica
Cuando la BSI emitió su alerta, no se conocían explotaciones confirmadas de PHP2Shell, aunque había informes sin confirmar sobre la existencia de exploits. Antes de que aparezca otra vulnerabilidad de este tipo, los responsables de TI pueden preparar tres medidas.
- Inventariar PHP más allá del servidor web. La BACS aconsejó revisar también las aplicaciones y los dispositivos que utilizan PHP como componente. Una lista actualizada de estos sistemas agiliza su localización en una emergencia.
- Prever un servicio de emergencia para webs y portales. El miércoles, el servicio de denuncias por internet de la policía de Renania del Norte-Westfalia estuvo interrumpido durante horas. Tampoco se podía acceder a la comisaría virtual de la policía de Brandeburgo ni a numerosas webs de hospitales. Durante la desconexión, el NCSC neerlandés remitió a advisories.ncsc.nl y a LinkedIn. Estas vías alternativas para ciudadanos y clientes deben estar definidas antes de la alerta.
- Credenciales con caducidad. Railway recomendó a todos sus usuarios renovar las claves almacenadas. En Zeabur, los tokens de administrador no caducaban y seguían sin cambios desde enero de 2024. Los plazos de validez cortos y la renovación periódica limitan los daños cuando un proveedor de plataformas pierde datos. Las contraseñas robadas o adivinadas también figuran entre las vías de entrada del grupo de Ransomware SafePay, sobre el que el FBI, CISA y la Oficina Regional de Investigación Criminal (LKA) de Renania-Palatinado alertaron conjuntamente el martes.
Preguntas frecuentes
Cada pregunta está cerrada. Tócala para abrir la respuesta.
¿Qué versiones de PHP corrigen PHP2Shell?
El proyecto PHP publicó el 21 de octubre de 2026 las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Corrigen las vulnerabilidades CVE-2026-109618 y CVE-2026-109619.
¿Qué versiones de GitLab están protegidas?
Las versiones corregidas son 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. GitLab.com ya tiene aplicado el parche. Las instalaciones autogestionadas deben actualizarse de inmediato.
¿Qué artefactos de LiteLLM fueron comprometidos?
Además de los wheels de la versión 1.107.0 en PyPI, estaban afectadas las etiquetas de Docker latest, main-latest y main-stable. El paquete 1.107.0 se retiró de PyPI y se eliminó la imagen de Docker v1.107.0. Las etiquetas latest, main-latest y main-stable vuelven a apuntar a imágenes seguras.
Selección editorial
RecomendadoCuando el stack de seguridad crece más que la estrategia
Fuente de la imagen: generada con IA (octubre de 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
