El Centro Canadiense para la Ciberseguridad ha publicado un comunicado sobre vulnerabilidades críticas en PHP Hypertext Preprocessor (PHP), el lenguaje de scripting que impulsa una gran parte de los sitios web y servicios en línea del mundo. El comunicado, fechado el 21 de octubre de 2026 y publicado desde Ottawa, indica que el Centro de Ciberseguridad trabaja con socios gubernamentales y la industria canadiense para evaluar y responder a las fallas.

Según el Centro de Ciberseguridad, que forma parte del Communications Security Establishment Canada, las vulnerabilidades podrían, bajo ciertas condiciones, permitir que un actor malicioso ejecute comandos no autorizados en los sistemas afectados sin autenticación. Este último punto es relevante. Sin credenciales, sin sesión, sin ningún aviso de MFA que superar. Hay actualizaciones de seguridad disponibles para remediar los problemas.

El comunicado no incluye identificadores CVE, puntuaciones de gravedad ni rangos de versiones afectadas. Esos detalles figuran en una alerta independiente que el Centro de Ciberseguridad afirma haber emitido, la cual contiene información técnica y acciones recomendadas para que las organizaciones canadienses evalúen su exposición. El comunicado completo está disponible en el sitio web del Centro de Ciberseguridad. El Centro de Ciberseguridad también indica que comparte consejos, orientación e información sobre amenazas con sus socios para apoyar su respuesta.

El alcance de los afectados es amplio por diseño. PHP sustenta sistemas de gestión de contenidos, tiendas de comercio electrónico, portales de clientes, herramientas de intranet y una larga lista de aplicaciones internas que nadie ha tocado desde que la persona que las desarrolló se fue. El Centro de Ciberseguridad señala que PHP también viene integrado en otros productos, lo que significa que un conjunto de dispositivos y software empaquetado puede incluir un intérprete vulnerable que nunca aparece en un inventario de servidores etiquetado como "PHP".

El Centro de Ciberseguridad advierte que algunos sitios web podrían estar temporalmente fuera de servicio como medida de precaución mientras se aplican los parches. En términos simples: si un servicio canadiense del que depende deja de estar disponible durante unas horas en los próximos días, existe una probabilidad razonable de que esté siendo corregido y no comprometido. Ese es el resultado deseable.

La solicitud central del comunicado es breve e inequívoca. El Centro de Ciberseguridad insta a todas las organizaciones a identificar con prontitud los sistemas que ejecutan PHP en toda su infraestructura, priorizar los sistemas expuestos a internet y aplicar las actualizaciones de seguridad disponibles. También indica a las organizaciones que verifiquen las actualizaciones de sus proveedores de software, ya que una versión parcheada de PHP no sirve de nada para un producto de un proveedor que incluye su propia copia integrada y necesita su propia corrección.

Para quienes trabajan en IAM, la frase "sin autenticación" es la que debe ocupar la atención. Los controles de identidad son la puerta principal. Un bug de ejecución remota de comandos previa a la autenticación equivale a que alguien entre atravesando la pared. Un MFA robusto, el acceso condicional y unas políticas de sesión estrictas siguen siendo importantes, pero ninguno de ellos tiene voto cuando la solicitud nunca llega al manejador de inicio de sesión. Lo que sí ayuda es lo tedioso: saber dónde está PHP, parchearlo y asegurarse de que las cuentas de servicio y los secretos que residen en esos hosts no puedan convertirse en un puente hacia el proveedor de identidad, el directorio o el plano de control en la nube.

El Centro de Ciberseguridad enmarca la aplicación de parches como parte del mantenimiento de defensas en capas a medida que evolucionan las amenazas, que es el lenguaje regulatorio para decir "esta no es la primera vez y no será la última". Las organizaciones que ya cuentan con un inventario de software preciso y un proceso de cambio de emergencia probado encontrarán los próximos días ocupados, pero manejables. Las que no lo tengan, los encontrarán instructivos.

¿Qué debería hacer concretamente un equipo de identidad o seguridad hoy? Primero, obtener un inventario de cada host que ejecute PHP, incluidos los dispositivos de proveedores y cualquier elemento con una consola de administración web, y parchear los expuestos a internet antes de que termine el día. Segundo, auditar a qué pueden acceder esos niveles web: rotar las credenciales de bases de datos, las claves de API, las cuentas de enlace LDAP y las claves de acceso a la nube almacenadas en archivos de configuración en servidores PHP, y confirmar que esas identidades tienen el alcance mínimo necesario. Tercero, aumentar la retención de registros del servidor web y de aplicaciones en los hosts afectados y buscar lanzamientos de procesos inesperados o conexiones salientes desde el nivel web. Si los tres puntos ya están cubiertos, enhorabuena: su organización es la que todos los demás estarán imitando la semana que viene.