El proyecto PHP publicó actualizaciones de emergencia para dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación en servidores web.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quienes administran sitios deben revisar qué rama utiliza su servidor y confirmar con su proveedor que instaló el paquete correspondiente.
Vulnerabilidad no equivale a intrusión
Marco Aravena, académico de Ingeniería Civil Informática de la Universidad de Valparaíso, explicó que la existencia de una falla no demuestra por sí sola que un sitio haya sido vulnerado. El riesgo aparece cuando un atacante consigue explotarla en una instalación sin corregir.
El problema afecta al motor PHP y no a una extensión específica. Por eso puede alcanzar a distintos sistemas de gestión de contenidos y aplicaciones que dependen de este lenguaje, incluso si el software visible del sitio está actualizado.
Revisar versión, respaldo y registros
La recomendación principal es confirmar la versión efectiva del servidor, realizar un respaldo comprobable antes de actualizar y revisar señales anómalas, como archivos desconocidos, redirecciones no autorizadas o cambios que nadie del equipo realizó.
Las ramas 8.1 y anteriores ya no reciben versiones oficiales del proyecto PHP. En esos casos, el administrador debe consultar por parches mantenidos por su distribución o proveedor y planificar la migración a una rama con soporte.
Un cortafuegos de aplicaciones puede reducir exposición mientras se completa el cambio, pero no reemplaza la actualización del servidor.
Más contenidos prácticos están disponibles en Tecnología.
CasablancaHoy.cl