Puntos clave
- Entre las noticias sobre criptomonedas destaca una advertencia del fundador de Binance, Changpeng Zhao, sobre dos vulnerabilidades críticas en PHP.
- Los desarrolladores de PHP adelantaron los parches de seguridad al 21 de octubre después de que se filtraran en Internet los detalles de las vulnerabilidades.
- Los investigadores han detectado intentos de explotación, pero no se han confirmado incidentes en carteras ni en plataformas de intercambio relacionados con estas fallas.
Las noticias sobre criptomonedas han llamado la atención sobre la seguridad de los sitios web después de que el fundador de Binance, Changpeng Zhao, advirtiera a los usuarios sobre dos vulnerabilidades críticas de PHP. El 22 de octubre, instó a tener cuidado al navegar por Internet durante los próximos días.
Estas fallas podrían permitir a los atacantes ejecutar código en servidores vulnerables sin necesidad de autenticación. Las instalaciones afectadas incluyen plataformas como WordPress, Magento, Drupal y Joomla.
Los desarrolladores lanzaron parches de emergencia el 21 de octubre después de que se filtrara información antes de la divulgación prevista. Los investigadores han detectado intentos de explotación, aunque es posible que algunos administradores aún tengan que actualizar sus sistemas. No se han confirmado incidentes relacionados con plataformas de intercambio de criptomonedas o carteras de usuarios que se hayan vinculado directamente a las vulnerabilidades recién reveladas.
Una alerta sobre criptomonedas destaca los riesgos de las páginas web sin parches
Changpeng Zhao dirigió su advertencia sobre las noticias de criptomonedas a los administradores de sitios web que quizá no hayan instalado las últimas actualizaciones de seguridad. Su advertencia se refería a sitios web que los atacantes podrían comprometer a través de instalaciones vulnerables de PHP.
PHP se utiliza en millones de sitios web de todo el mundo. Las vulnerabilidades afectan a la infraestructura del servidor, lo que los atacantes podrían aprovechar para acceder a información confidencial o modificar contenidos.
Para los lectores de noticias sobre criptomonedas, la diferencia radica en dónde empieza el ataque. Visitar una web que use PHP no compromete automáticamente un dispositivo ni una cartera de criptomonedas.
Sin embargo, los atacantes que controlen un servidor podrían alterar las páginas de inicio de sesión o introducir solicitudes fraudulentas de conexión a monederos. El riesgo resultante dependería del acceso que consiguieran.
El fundador de Binance lanzó su advertencia en un contexto de campañas de phishing dirigidas a usuarios de criptomonedas. En informes anteriores se describían páginas web falsas de Ledger que intentaban obtener frases de recuperación, así como correos electrónicos de phishing de Trezor distribuidos a través de infraestructuras comprometidas.
Ninguno de estos incidentes establece una conexión con las vulnerabilidades de PHP recién reveladas.
Vulnerabilidades críticas en PHP provocan una actualización de seguridad urgente
La Fundación PHP identificó las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10.
La primera tiene que ver con una corrupción de memoria cuando PHP alcanza su límite de memoria configurado durante ciertas operaciones. En condiciones específicas, un manejo incorrecto de datos parcialmente inicializados podría permitir la ejecución de código no autorizado.
La segunda consiste en que las referencias internas siguen estando accesibles después de que PHP libere la memoria asociada. Los investigadores demostraron que se podía ejecutar código en aplicaciones que se ejecutaban en servidores afectados.
La fundación confirmó que se podía explotar el fallo en configuraciones predeterminadas de Apache que usaran mod_php. Los investigadores también demostraron vías de ataque que implicaban a PHP-FPM.
Los desarrolladores lanzaron las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 de PHP el 21 de octubre. El aviso oficial instaba a actualizar de inmediato, ya que las medidas de protección temporales no podían eliminar por completo el riesgo.
Las ramas de PHP que ya no reciben soporte pueden depender de correcciones específicas de los proveedores de alojamiento o de los fabricantes de software.
Crypto News Alert se hace eco de las filtraciones antes de la divulgación coordinada
Los identificadores de la vulnerabilidad aparecieron en foros y redes sociales el 20 de octubre. Esas publicaciones incluían una puntuación de gravedad incorrecta de 10,0 y un calendario de publicación inexacto.
La filtración inicial no incluía instrucciones técnicas para explotar la vulnerabilidad. La alerta en las noticias sobre criptomonedas se produjo tras un proceso de divulgación que se vio interrumpido por la circulación de más material en Internet.
La empresa de seguridad Calif publicó posteriormente, por error, un vídeo de prueba de concepto. Tras su retirada, siguieron circulando copias, y los investigadores desarrollaron demostraciones adicionales de cómo explotar la vulnerabilidad.
El equipo de PHP adelantó un día el lanzamiento previsto para el 22 de octubre. Esto les dio tiempo a los distribuidores de software para preparar las actualizaciones, al tiempo que limitó el periodo en el que los detalles técnicos circularon sin que hubiera parches disponibles. La fundación también criticó a Chainguard por publicar imágenes de software parcheadas más de seis horas antes de la divulgación coordinada.
Según la empresa, los atacantes podrían examinar esos cambios antes del anuncio público. Cloudflare implementó protecciones de cortafuegos antes de la divulgación, en colaboración con investigadores de OpenAI, Wiz y otras organizaciones.
Cloudflare denominó estas vulnerabilidades «PHP2Shell» e identificó riesgos como la ejecución remota de código, la interrupción del servicio y la exposición de datos confidenciales.
El Centro Canadiense de Ciberseguridad instó a las organizaciones que ejecutan aplicaciones PHP conectadas a Internet a identificar las instalaciones vulnerables y aplicar las actualizaciones disponibles.
