FBI alerta por fallas críticas que ponen en riesgo sitios de internet

Las vulnerabilidades detectadas en PHP podrían permitir a delincuentes informáticos ejecutar código a distancia y comprometer información confidencial. La agencia estadounidense recomienda actualizar los sistemas de inmediato y desconectarlos cuando no sea posible corregir las fallas.

Avanzada (21/10/2026).— La División Cibernética del Buró Federal de Investigaciones (FBI) de Estados Unidos difundió una alerta sobre dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación utilizados para el funcionamiento de sitios y aplicaciones de internet, debido a que podrían permitir a delincuentes informáticos ejecutar código de manera remota y comprometer información confidencial y redes informáticas.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, representan un riesgo para los servidores que utilizan instalaciones vulnerables de este lenguaje de programación. De acuerdo con la advertencia difundida en la cuenta de la División Cibernética del FBI, las vulnerabilidades afectan al núcleo de PHP y podrían ser aprovechadas para ejecutar instrucciones maliciosas en los sistemas afectados.

La alerta incluye una calificación de 9.2 en la escala CVSS, utilizada internacionalmente para medir la gravedad de las vulnerabilidades informáticas. Esta puntuación corresponde a un nivel crítico, por lo que las organizaciones que utilizan el software deben revisar sus instalaciones y aplicar las actualizaciones de seguridad correspondientes.

Una de las recomendaciones más importantes del FBI es que, cuando no resulte posible actualizar inmediatamente los sistemas afectados, las organizaciones consideren dejarlos fuera de servicio hasta que las vulnerabilidades puedan corregirse por completo.

La agencia también solicita actualizar las instalaciones de PHP conforme a las indicaciones publicadas en su sitio oficial, php.net, e identificar todos los sistemas donde se utiliza este lenguaje, especialmente aquellos que están conectados directamente a internet y los productos de otros proveedores que lo incorporan.

Otra medida consiste en vigilar los servidores para detectar actividades sospechosas, particularmente procesos de PHP que ejecuten inesperadamente intérpretes de comandos o descarguen archivos. Estas conductas podrían constituir indicios de que un atacante intenta aprovechar las vulnerabilidades.

En caso de encontrar señales de una posible intrusión, el FBI recomienda aislar los sistemas afectados, conservar los registros de actividad de los servidores y reportar el incidente a las autoridades correspondientes. La conservación de esos registros puede resultar fundamental para investigar cómo ocurrió el ataque y determinar qué información pudo quedar comprometida.

La advertencia tiene relevancia internacional porque PHP es utilizado en el desarrollo de numerosas páginas y aplicaciones web. Por ello, el riesgo no se limita a Estados Unidos y también puede alcanzar a organizaciones públicas, empresas, comercios electrónicos y medios de comunicación de otros países, incluido México, cuando sus servidores utilizan versiones vulnerables.

Sin embargo, la existencia de estas fallas no significa que todos los sitios desarrollados con PHP hayan sido comprometidos. El riesgo depende de las versiones instaladas, las características de cada sistema y las medidas de protección implementadas.

La publicación del FBI remite a los avisos oficiales de PHP, al boletín de seguridad CERT-EU 2026-018 y al catálogo de vulnerabilidades explotadas de la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), como referencias para consultar información técnica y recomendaciones actualizadas.

La principal advertencia para los administradores de páginas de internet es que las actualizaciones de seguridad no deben postergarse, especialmente cuando una vulnerabilidad puede permitir que personas ajenas ejecuten instrucciones dentro de los servidores que almacenan información y mantienen en funcionamiento los servicios digitales.