Fallas críticas en PHP y certificados comprometidos: qué deben revisar empresas y usuarios

Manos sobre un teclado con código y la palabra PHP superpuesta, vulnerabilidades críticas en PHP

Dos incidentes de ciberseguridad casi simultáneos encendieron las alarmas a nivel global. Por un lado, vulnerabilidades críticas en PHP, el lenguaje presente en cerca del 70% de la web, y por otro, claves privadas débiles en certificados de la autoridad certificadora india eMudhra, que podrían facilitar la suplantación de sitios legítimos.

El equipo de PHP publicó el 21 de octubre parches de emergencia para dos fallas críticas que permiten ejecutar código de forma remota sin autenticación, corregidas en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a actualizar de inmediato, o a desconectar los sistemas que no puedan corregirse, ante el riesgo de que los atacantes conviertan estas fallas en una puerta de entrada masiva a servidores corporativos.

En paralelo, Cloudflare y los desarrolladores de navegadores como Mozilla y Google reportaron un problema en ocho certificados intermedios emitidos por eMudhra, cuyas claves privadas resultaron ser extremadamente débiles. Eso permitiría firmar sitios falsos y hacerlos pasar por legítimos ante sistemas no actualizados. La compañía revocó esos ocho certificados el 18 de octubre y los principales navegadores ya los bloquearon.

Qué sistemas están en riesgo

Según la consultora Landscape, el impacto no se limita a los sitios que ven los usuarios, sino que alcanza el backend y la cadena de suministro tecnológica, como las APIs y los microservicios entre empresas. Eso deja expuestas a plataformas transaccionales, pasarelas de pago y sistemas bancarios a ataques de interceptación. Como PHP sostiene gestores como WordPress, Drupal o Laravel, un servidor sin parches arriesga el secuestro de sus bases de datos y la exposición de archivos críticos, un escenario que se agrava porque las empresas tardan meses en corregir vulnerabilidades que ya conocen.

El compromiso de las claves de eMudhra rompe la premisa básica de la web, que es asumir que el candado o HTTPS garantiza que estás hablando con el servidor correcto. Y si a eso sumas que el motor donde corre tu aplicación tiene puertas abiertas, cualquier actor malicioso puede clonar un servicio, interceptar datos bancarios o tomar el control absoluto del servidor sin dejar rastro visible para el usuario común.

Así lo advierte Daniel Soto, CTO y cofundador de Landscape, quien agrega que muchas empresas se creen seguras porque el navegador no muestra alertas, pero descuidan sus APIs internas, sus contenedores y sus dependencias. El riesgo se suma a otras amenazas que ya golpean a las organizaciones chilenas, como el ransomware que afectó a 33 organizaciones este año.

Maridaje profesional de cerveza y marihuana. La ciencia sensorial para el sommelier moderno

Comprar en Amazon

Recomendaciones para empresas y personas

A las empresas se les recomienda preguntar a su proveedor o equipo de TI si sus sistemas usan PHP y si ya están actualizados, revisar que sus servidores no confíen en los certificados afectados y, si no pueden actualizar, desconectar temporalmente los sistemas expuestos. A las personas, mantener al día el navegador y el sistema operativo, ya que los navegadores bloquearon los certificados comprometidos, y desconfiar de enlaces inesperados aunque muestren el candado de seguridad.

Preguntas frecuentes

1. ¿Qué versiones de PHP corrigen las fallas?

Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026.

2. ¿Qué pasó con los certificados de eMudhra?

Ocho certificados intermedios tenían claves privadas débiles. eMudhra los revocó y los principales navegadores los bloquearon.

3. ¿Estoy en riesgo como usuario?

El riesgo es menor si mantienes actualizados el navegador y el sistema operativo. Igual conviene desconfiar de enlaces inesperados aunque muestren el candado.