EN
Español
Português (Brasil)
Türkçe
Tiếng Việt
Bahasa Indonesia
Polski
Čeština
Română
Slovenčina
Magyar25 Oct 2026
Los fallos CVE-2026-109618 y CVE-2026-109619 en PHP, con severidad 9,2 sobre 10, llevaron a gobiernos y empresas a desconectar sistemas. Ahora varias firmas de seguridad sostienen que una explotación real exige un alto nivel técnico, aunque todas coinciden en que hay que aplicar los parches.
Exchanges TradeReviewed News Desk
Una semana después de que se publicaran actualizaciones de emergencia para PHP, la comunidad de ciberseguridad discute cuán peligrosos son realmente los fallos conocidos como PHP2Shell. Según informa CriptoNoticias, el análisis asistido por inteligencia artificial de la firma Wiz identificó dos vulnerabilidades críticas en el intérprete PHP, el lenguaje que sostiene cerca del 70% de los sitios web del mundo.
Qué se descubrió
El 21 de octubre se publicaron parches de emergencia para las versiones 8.2, 8.3, 8.4 y 8.5 de PHP. Los fallos, catalogados como CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación CVSS de 9,2 sobre 10, porque en teoría permiten ejecutar código de forma remota sin credenciales. Como medida preventiva, administraciones de varios países desconectaron temporalmente portales institucionales.
Dos lecturas opuestas
Firmas como Pentera y WatchTowr defienden la gravedad del hallazgo: la enorme adopción de PHP convierte cualquier brecha en un riesgo sistémico, sin importar lo difícil que sea explotarla.
En el otro extremo, Flare y otros investigadores subrayan la distancia entre el laboratorio y los servidores en producción. Para un ataque funcional, el atacante tendría que superar la aleatorización de memoria (ASLR) y adaptar el código a cada compilación concreta. Varios analistas comprobaron que las herramientas públicas difundidas tras el anuncio fallaban en entornos reales, y Sansec rebajó su previsión inicial de ataques masivos inmediatos por falta de evidencia.
Un desarrollador incluso montó un servidor vulnerable con una wallet de bitcoin dentro y ofreció el saldo a quien lograra ejecutar un comando remoto. Según CriptoNoticias, tras varios días expuesto el premio seguía intacto.
Qué significa para los traders
Muchos exchanges, pasarelas de pago y paneles web usan PHP en alguna parte de su infraestructura. Que la explotación sea difícil no significa que sea imposible, así que lo prudente es seguir buenas prácticas: activar la autenticación en dos pasos, usar listas blancas de retiro, no dejar más saldo del necesario en plataformas centralizadas y desconfiar de correos que pidan “verificar” la cuenta tras un incidente. Para elegir una plataforma con buen historial de seguridad, consulta nuestra comparativa de exchanges, nuestro método de evaluación y las reseñas de BingX y OKX.
Esto no es asesoramiento financiero.
Fuente: CriptoNoticias.
Related reviews
Sources
News is for information only and is not financial advice. More crypto news
You'll hear it here first
Get crypto news first on our Telegram channel.