✨︎ Resumen (TL;DR):
- El Gobierno británico reportó el 22 de octubre de 2026 que 32 servicios estaban fuera de línea y cuatro funcionaban de forma parcial.
- PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir CVE-2026-109618 y CVE-2026-109619.
- El NCSC pidió priorizar los sistemas PHP expuestos a internet y considerar su desconexión si no pueden protegerse a tiempo.
El Gobierno del Reino Unido informó el 22 de octubre de 2026 que 32 servicios estaban fuera de línea y otros cuatro funcionaban de forma parcial tras las fallas PHP2Shell. La mayor parte de las interrupciones respondió a medidas preventivas mientras se aplicaban las correcciones para vulnerabilidades capaces de permitir la ejecución de código sin autenticación en servidores vulnerables.
La ministra, la baronesa Lloyd of Effra, presentó el balance ante la Cámara de los Lores. También dijo que el Gobierno central no tenía constancia de intrusiones confirmadas por estas vulnerabilidades. El número de servicios suspendidos refleja, por tanto, el impacto sobre su disponibilidad.
PHP2Shell afecta el software que corre en el servidor
PHP2Shell es un conjunto de fallas del software PHP que puede permitir la ejecución de código sin autenticación en un servidor vulnerable.
PHP es software de servidor que genera el contenido que recibe el navegador. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advierte que también puede estar incorporado en otros productos.
El equipo de PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir CVE-2026-109618 y CVE-2026-109619. Las actualizaciones abarcan distintas ramas del lenguaje.
El proyecto de PHP insiste en que las medidas temporales reducen la exposición a vías concretas de ataque, pero solo la actualización ofrece una solución completa. En los productos y servicios que incorporan PHP como componente, el NCSC pide seguir los avisos de los proveedores y aplicar las actualizaciones pertinentes conforme estén disponibles.
El NCSC separa la actualización de la búsqueda de intrusiones
La guía de la agencia pide:
- Identificar los sistemas que utilizan PHP.
- Priorizar los que están expuestos a internet.
- Aplicar las actualizaciones.
- Si la organización no puede adoptar las medidas temporales de protección, o hacerlo tomaría demasiado tiempo, considerar la desconexión hasta que sea posible proteger el sistema.
El NCSC también recomienda buscar indicios de intrusión y puertas traseras antes de actualizar o mitigar cuando el responsable no pueda actualizar ni desactivar el sistema de inmediato. La instalación del parche y la búsqueda de intrusiones son tareas distintas dentro de sus recomendaciones.
El balance del 22 de octubre deja una decisión concreta para cada servicio: aplicar la actualización, usar una medida temporal o considerar la desconexión si no puede protegerse de inmediato. El reporte no confirmó intrusiones en el Gobierno central, pero la guía del NCSC pide revisar indicios de intrusión y puertas traseras además de instalar el parche.
