Las autoridades de ciberseguridad de Colombia y Brasil se sumaron a la alerta internacional provocada por la detección de dos vulnerabilidades críticas en el núcleo de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619.

Estas fallas, que alcanzan una severidad de 9,2 sobre 10, permiten a actores maliciosos ejecutar código de forma remota y tomar el control de servidores sin necesidad de autenticación previa, lo que amenaza tanto a infraestructuras estatales como privadas (incluyendo, tal como lo ha explicado ayer CriptoNoticias, a plataformas vinculadas al ecosistema de bitcoin y las criptomonedas).

Publicidad

En Colombia, el Equipo de Respuesta a Emergencias Cibernéticas (ColCERT) emitió ayer un aviso de riesgo alto tras contabilizar 8.699 servicios que operan con PHP y se encuentran expuestos a internet en el país.

El organismo determinó que el 88% de estos equipos, equivalentes a 7.659 instalaciones, se ubican en redes de proveedores de internet y telecomunicaciones, seguidos por servicios en la nube, instituciones académicas y entidades públicas.

Por su parte, el Centro de Prevención, Tratamiento y Respuesta a Incidentes Cibernéticos de Gobierno (CTIR Gov) y el Centro Integrado de Seguridad Cibernética (CISC) de Brasil publicaron directrices de urgencia.

Respaldándose en un decreto presidencial de 2021, el gobierno brasileño ordenó a las dependencias de su red federal subsanar las vulnerabilidades cibernéticas de forma inmediata, priorizando la revisión de las aplicaciones web expuestas.

Publicidad

Ambos países coinciden con agencias como el FBI de Estados Unidos y el CERT-EU de Europa en que la actualización del software es la única medida definitiva de protección.

Las instituciones instan a los administradores a instalar de inmediato las versiones corregidas de PHP, correspondientes a las ramas 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Además, advirtieron explícitamente que la actualización de gestores de contenido como WordPress no corrige la falla, dado que el problema radica en el lenguaje de programación alojado en el servidor web.

Para aquellas instalaciones que no puedan ser migradas rápidamente, incluidas las que operan con las versiones 8.1 o anteriores y que ya no reciben soporte oficial, las autoridades sugieren medidas temporales como restringir el tamaño de las peticiones HTTP y deshabilitar el progreso de carga de las sesiones.

Publicidad

No obstante, al igual que lo estipulado por las agencias estadounidenses, los especialistas de Brasil y Colombia determinan que si la actualización es inviable, se debe restringir el acceso a los servicios expuestos o desconectarlos directamente de internet para evitar comprometer la integridad operativa de los sistemas y los datos de los usuarios.

Colombia y Brasil alertan por fallas en PHP con miles de servidores expuestos