Dos vulnerabilidades críticas identificadas en PHP, el lenguaje que sustenta cerca del 70 % de los sitios web del mundo, incluido WordPress, permiten la ejecución remota de código sin autenticación. Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619, otorgan a un atacante control total sobre los servidores afectados. La calificación es de 9.2 sobre 10 en la escala CVSS, lo que las coloca en el nivel crítico.

CVE-2026-109618 se origina en un manejo inadecuado de errores de falta de memoria (OOM), que puede dejar la memoria en un estado no inicializado y abrir paso a código malicioso. CVE-2026-109619 deriva de un fallo en el reinicio del estado global, lo que puede permitir que solicitudes posteriores accedan a memoria ya liberada. Ambas condiciones incrementan el riesgo de ejecución remota de código y afectan versiones desde PHP 5.4 hasta PHP 8.5.11.

Para mitigar el riesgo, el proyecto PHP publicó las versiones corregidas PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 y PHP 8.5.12. Los administradores de sistemas y desarrolladores deben actualizar de inmediato; también conviene revisar configuraciones de seguridad, aplicar firewalls, sistemas de detección de intrusos y monitorear actividades sospechosas. La actualización es la medida principal para cerrar la exposición.

La gravedad de los fallos llevó a agencias gubernamentales y empresas a tomar medidas urgentes. En Estados Unidos, la Agencia de Seguridad Nacional (NSA) instó a las organizaciones a aplicar los parches de inmediato o, en su defecto, desconectar los sistemas vulnerables hasta implementar las correcciones. La alta dependencia de PHP en el ecosistema web amplifica el impacto potencial en servicios públicos, comercio electrónico y plataformas de gestión de contenidos.

En México no se han reportado incidentes específicos hasta el momento, pero la amplia adopción de PHP en el desarrollo web nacional implica que instituciones y empresas podrían estar en riesgo. Los responsables de tecnología deben inventariar sus sistemas, verificar versiones y aplicar las actualizaciones correspondientes. Además, se recomienda segmentar servicios, reforzar registros y mantener vigilancia continua ante intentos de explotación. La rápida respuesta reduce la probabilidad de compromisos y protege datos y servidores.