R
robo
Épsilon
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
El NCSC insta a las organizaciones del Reino Unido a tomar medidas inmediatas para mitigar un problema de seguridad que afecta a PHP (CVE-2026-109618 y CVE-2026-109619).
PHP (PHP Hypertext Preprocessor) es un lenguaje de programación del lado del servidor ampliamente utilizado, diseñado para el desarrollo web. Se ejecuta en un servidor web para generar contenido dinámico para las páginas, interactuar con bases de datos y gestionar la lógica de la aplicación en el servidor antes de entregar el HTML final al navegador del usuario. PHP también se utiliza en una variedad de otros productos.
El problema de seguridad podía permitir que un atacante provocara un error de memoria insuficiente (OOM) en PHP, lo que resultaba en una corrupción de memoria. En determinadas circunstancias, esta corrupción podía explotarse para lograr la ejecución remota de código sin autenticación. Este problema de seguridad ya ha sido solucionado.
El NCSC seguirá supervisando cualquier impacto en las organizaciones del Reino Unido.
¿Qué ha pasado?
PHP ha publicado una actualización de seguridad para solucionar un problema crítico que podría permitir a los atacantes ejecutar comandos en cualquier servidor web que ejecute PHP.PHP (PHP Hypertext Preprocessor) es un lenguaje de programación del lado del servidor ampliamente utilizado, diseñado para el desarrollo web. Se ejecuta en un servidor web para generar contenido dinámico para las páginas, interactuar con bases de datos y gestionar la lógica de la aplicación en el servidor antes de entregar el HTML final al navegador del usuario. PHP también se utiliza en una variedad de otros productos.
El problema de seguridad podía permitir que un atacante provocara un error de memoria insuficiente (OOM) en PHP, lo que resultaba en una corrupción de memoria. En determinadas circunstancias, esta corrupción podía explotarse para lograr la ejecución remota de código sin autenticación. Este problema de seguridad ya ha sido solucionado.
- CVE-2026-109618 : El manejo de errores de memoria puede interrumpir PHP mientras los datos internos de la solicitud solo se han inicializado parcialmente. La limpieza de la solicitud puede entonces tratar los datos no válidos como válidos.
- CVE-2026-109619 : El estado interno propiedad de una solicitud puede persistir incluso después de que se haya liberado su memoria de respaldo. Una solicitud posterior procesada por el mismo trabajador puede utilizar ese estado obsoleto antes de que la inicialización normal lo restablezca.
El NCSC seguirá supervisando cualquier impacto en las organizaciones del Reino Unido.
¿Quiénes son los afectados?
Las organizaciones que utilizan cualquier versión de PHP se ven afectadas y se les recomienda encarecidamente que actualicen a la última versión corregida. Las organizaciones que utilizan versiones anteriores de PHP también deben actualizar a una versión con soporte completo.¿Qué tengo que hacer?
El NCSC recomienda seguir las mejores prácticas de los proveedores para la mitigación de vulnerabilidades. El NCSC insta encarecidamente a las organizaciones a seguir estas acciones prioritarias:- Identifique los sistemas que ejecutan PHP en su infraestructura, dando prioridad a los sistemas con acceso a internet. Dado que todas las versiones pueden verse afectadas, no limite la detección a versiones obsoletas de PHP; identifique las instalaciones de PHP en general y evalúe su exposición a las vulnerabilidades CVE-2026-109618 y CVE-2026-109619.
- Supervise continuamente las actualizaciones de seguridad de proveedores de software externos, incluidos los dispositivos y servicios que puedan incluir PHP como componente. Aplique las actualizaciones pertinentes en cuanto estén disponibles.
- Actualiza a la última versión de PHP y continúa atento a futuras actualizaciones.
- Aplique los pasos de refuerzo adicionales proporcionados por el equipo de PHP .
- Si no puede actualizar a una versión con la actualización de seguridad aplicada, el equipo de PHP ha proporcionado soluciones temporales .
- Si no puede aplicar las medidas de mitigación temporales, o si su aplicación llevaría demasiado tiempo, debería considerar la posibilidad de desconectar el sistema hasta que se puedan solucionar por completo las deficiencias.
- Si no puede actualizar o deshabilitar el sistema de inmediato, debe evaluarlo en busca de indicios de vulneración antes de la actualización o la mitigación, y buscar puertas traseras instaladas por un atacante. Si no se siente seguro de poder hacerlo usted mismo, puede obtener ayuda de un proveedor de respuesta a incidentes cibernéticos certificado por el NCSC .
- Supervise continuamente las actualizaciones de seguridad de proveedores de software externos, incluidos los dispositivos y servicios que puedan incluir PHP. El NCSC-NL ha publicado un inventario de productos de software con dependencia de PHP que podrían verse afectados por las vulnerabilidades.
Recursos adicionales del NCSC
- Entrada del blog del NCSC: Preparándose para una "oleada de parches de vulnerabilidades"
- Siga las directrices del NCSC, incluida la gestión de vulnerabilidades y la prevención del movimiento lateral.
- Principios del NCSC para garantizar la seguridad de los procesos de compilación e implementación.
- Si su organización se encuentra en el Reino Unido, puede registrarse en el servicio gratuito de alerta temprana del NCSC para recibir notificaciones sobre posibles amenazas en su red.
- El kit de herramientas de divulgación de vulnerabilidades del NCSC ayuda a organizaciones de todos los tamaños con los componentes esenciales para implementar un proceso de divulgación de vulnerabilidades.
