CISA pide parchar de inmediato dos vulnerabilidades críticas de PHP: qué significa para su cadena de suministro

Qué cambió

Según CISA, las fallas permiten ejecutar código a distancia sin necesidad de autenticarse. La cronología es esta:

• 21 de octubre de 2026. PHP publica las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 con la corrección de CVE-2026-109618 y CVE-2026-109619. CISA emite su alerta.
• 23 de octubre de 2026. CISA actualiza la alerta con una regla de detección.
• 26 de octubre de 2026. CISA agrega ambas vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas (KEV).

A quién afecta

Según CISA y PHP, el riesgo alcanza todas las instalaciones de PHP que atienden peticiones web, incluidas Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. PHP considera que el riesgo es mayor con mod_php.

CISA advierte que PHP suele venir integrado en otro software, así que puede estar instalado sin que la empresa lo sepa. PHP 8.1 y las versiones anteriores ya no reciben actualizaciones del proyecto.

Qué recomienda CISA

• Hacer un inventario de todos los sistemas que usan PHP.
• Aplicar el parche de inmediato, empezando por los sistemas expuestos a internet.
• Desconectar los sistemas que no se puedan actualizar de inmediato o que usen PHP 8.1 o anterior, hasta que estén parchados o actualizados.
• Mientras se actualiza, un firewall de aplicaciones web (WAF) puede dar algo de protección.
• Consultar el aviso de seguridad oficial de PHP.
• Vigilar actividad sospechosa, como procesos de PHP que abren una terminal o descargan herramientas.

La alerta de CISA es una recomendación, no una obligación regulatoria para las empresas privadas.

Relación con CTPAT

Los Criterios Mínimos de Seguridad de CTPAT para importadores de EE. UU. (CBP, octubre de 2021) solo obligan a los socios del programa. Su sección 4, de Ciberseguridad, incluye estos criterios:

• 4.2. Mantener el software de seguridad al día, con actualizaciones de seguridad periódicas.
• 4.3. Quienes usan sistemas de red prueban con regularidad la seguridad de su infraestructura de TI y corrigen lo antes posible las vulnerabilidades que encuentren. La guía sugiere escaneos de vulnerabilidades.
• 4.6. Revisar las políticas de ciberseguridad al menos una vez al año, o antes si el riesgo lo exige.
• 4.11. Contar con medidas para evitar productos tecnológicos falsificados o sin licencia válida. Según su guía, el software sin licencia tiende a fallar por no poder actualizarse.

En 3PP tratamos todos estos criterios como requisitos que hay que cumplir.

Qué debería revisar su empresa

• Lectura de 3PP Esto es opinión de 3PP GLOBAL, no un requisito de CISA ni de CBP. Revise si sus portales, sistemas de rastreo, WMS o TMS usan PHP. Si los opera un proveedor, pregúntele también.
• Lectura de 3PP Parche y conserve la evidencia: fecha, versión y sistema.
• Lectura de 3PP Registre el caso en la revisión de sus políticas de ciberseguridad y en su análisis de riesgos.

Obligatorio: requisito legal o normativo. Recomendado: buena práctica o guía de la autoridad. Lectura de 3PP: nuestra interpretación técnica.