Reflexiones sobre las actualizaciones de seguridad de PHP del 21 de octubre de 2026

Nuestra empresa trabaja con tecnologías de código abierto maduras que cualquier persona puede revisar y auditar, y nos preocupamos constantemente por la seguridad y la continuidad operativa de las aplicaciones que entregamos a nuestros clientes. No obstante, estas tecnologías están lejos de estar libres de errores, por lo que dedicamos tiempo y recursos a atender las actualizaciones de seguridad de las tecnologías que utilizamos.

El 21 de octubre de 2026 se publicaron parches de emergencia para dos vulnerabilidades críticas en PHP, correspondientes a los avisos de seguridad CVE-2026-109618 y CVE-2026-109619. CVE significa “Common Vulnerabilities and Exposures” y es un catálogo de vulnerabilidades de seguridad públicamente conocidas en aplicaciones de software y componentes de hardware.

Conocimos esta información a las 11:40 del día miércoles e inmediatamente emitimos un aviso a todos nuestros clientes sobre el riesgo que suponía. Tomamos las siguientes medidas, con horas aproximadas:

11:45 CLST / 14:45 UTC: Actualización masiva de PHP y otras herramientas en todos los servidores públicos que contienen información de nuestros clientes y están bajo el control de nuestra empresa. En los servidores con Rocky Linux se actualizó a PHP 8.5.12, y en los servidores con Ubuntu Linux, a 8.5.4-0ubuntu1.5.

12:00 CLST / 15:00 UTC: Reinicio de todos los servidores públicos que contienen información de nuestros clientes y están bajo el control de nuestra empresa, con una interrupción del servicio de 15 minutos.

15:00 CLST / 18:00 UTC: Comienza la investigación de todos los registros de aplicaciones, recolectados a partir de los servicios de monitoreo que disponemos, la que finalizó el 30 de octubre de 2026 sin encontrar ningún indicio de problemas de seguridad.

Las interrupciones del servicio sumaron 30 minutos en total: 15 minutos por la actualización de PHP y 15 minutos por la actualización de las aplicaciones.

Las plataformas que desarrollamos operan detrás de un Web Application Firewall que admite sólo un conjunto de datos válido para cada sitio, lo que reduce la superficie de un ataque informático. No obstante, la protección principal ante este tipo de fallas de seguridad es la actualización de software, que ya está aplicada al 100%. También aplicamos actualizaciones de seguridad en las aplicaciones que corren sobre PHP, con un tiempo fuera de línea calculado de 15 minutos. Esta actualización se realiza de forma periódica y automatizada, pero contamos con los medios para realizarla manualmente y controlar los resultados.

Sólo un servicio permaneció no disponible por más tiempo que el necesario, lo que se debe a que la organización que administra el servicio tiene políticas propias de resguardo de la información. No obstante, la auditoría realizada sobre este servicio tampoco arrojó intentos exitosos de explotación de vulnerabilidades.

En nuestra empresa continuamos comprometidos con el desarrollo de productos y servicios de excelencia para nuestros clientes. Ante cualquier consulta, no dude en contactarnos a través de nuestros canales institucionales.