El Instituto Nacional de Ciberseguridad (INCIBE) ha emitido una alerta de nivel crítico tras detectarse dos vulnerabilidades de seguridad en PHP, un lenguaje de programación ampliamente utilizado en el desarrollo de páginas web y aplicaciones.
Estos fallos, identificados como CVE-2026-109618 y CVE-2026-109619, podrían permitir a los ciberdelincuentes ejecutar código malicioso de forma remota y sin necesidad de autenticación, comprometiendo la seguridad de los servidores y la información que gestionan. Ambas vulnerabilidades presentan una gravedad de 9,2 sobre 10 y ya se han comunicado ataques contra servidores afectados.
El problema afecta a distintas versiones de PHP y a servidores que utilizan tecnologías como Apache y PHP-FPM. Ante esta situación, INCIBE recomienda a las organizaciones actualizar inmediatamente sus sistemas a las versiones corregidas, que ya se encuentran disponibles.
En aquellos casos en los que no sea posible aplicar las actualizaciones de forma inmediata, se aconseja adoptar medidas temporales de protección y, si es necesario, aislar los sistemas afectados de Internet hasta solucionar las vulnerabilidades.