23 de octubre de 2026

Vulnerabilidad crítica en PHP y certificados comprometidos de eMudhra

Qué ha pasado con los dos fallos críticos de PHP

PHP es el lenguaje con el que funcionan muchas webs, desde una tienda online hasta una página de WordPress con reservas. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de 9,2 sobre 10 y permiten la llamada ejecución remota de código, es decir, que alguien desde fuera dé órdenes al servidor sin necesidad de contraseña y con los privilegios del proceso web que ejecuta la página.

Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre. PHP 8.1 y las anteriores ya no reciben actualizaciones del proyecto, aunque se han publicado parches de código fuente para las ramas 7.4, 8.0 y 8.1, y la rama 8.2 dejará de recibir correcciones el 31 de diciembre de 2026.

El aviso del INCIBE-CERT los clasifica con importancia crítica, el nivel 5 de su escala, e informa de que se comunicaron ataques contra servidores PHP antes de que existieran las actualizaciones. Como el fallo está en PHP y no en la web que funciona sobre él, actualizar WordPress, el tema o los plugins no lo corrige.

Qué debe hacer quien tiene una web con PHP

Lo primero es saber qué versión de PHP usa tu web. En WordPress aparece en Herramientas, Salud del sitio, pestaña Información, apartado Servidor. Nuestro hosting web ya funciona con las versiones corregidas de PHP, y con cualquier otro proveedor lo más directo es preguntarle qué versión usa tu web y si ya ha aplicado las correcciones.

Si gestionas tu propio servidor, por ejemplo un servidor cloud, la actualización te corresponde a ti. Después de instalarla hay que reiniciar los procesos de PHP para que carguen la versión nueva.

Cuando no se puede actualizar, PHP ha publicado medidas temporales que reducen la exposición, pero advierte de que la actualización es la única solución completa. Para una web expuesta a internet que no pueda actualizarse, el INCIBE-CERT recomienda aislarla de las redes públicas hasta aplicar la versión corregida.

 

Qué ha pasado con los certificados de eMudhra

Un certificado SSL es lo que permite que el navegador cifre la conexión con una web y muestre el candado. Lo emite una autoridad de certificación y, entre la autoridad raíz en la que confía el navegador y el certificado de cada web, hay autoridades intermedias que son las que firman los certificados. Quien tenga la clave privada de una intermedia puede firmar certificados para cualquier dominio, y el navegador que siga confiando en ella los dará por buenos.

El 17 de octubre un investigador avisó a Google, Mozilla, Apple y Microsoft de que las claves privadas de ocho autoridades intermedias de eMudhra, una empresa india, se habían generado con aleatoriedad insuficiente. Eran números inferiores a 256, cuando una clave de ese tipo debe ser un número enorme, y cualquiera podía calcularlas a partir de los certificados públicos. Seis de las ocho estaban destinadas a emitir certificados para webs.

Chrome bloqueó esas seis autoridades el mismo día, menos de dos horas después de recibir el aviso, y Firefox completó el bloqueo en menos de tres horas. Apple los bloquea desde el 19 de octubre. Según Google, antes del bloqueo no constaba en los registros públicos de certificados ningún certificado web emitido por esas autoridades, por lo que ninguno habría podido usarse contra Chrome.

eMudhra afirma que esas autoridades no llegaron a emitir certificados a clientes, que su infraestructura no se vio comprometida y que las revocó el 18 de octubre. Las claves se crearon en abril de 2025 y, según la empresa, el fallo estuvo en un paso del procedimiento de generación, sin que la causa exacta esté confirmada. El 22 de octubre anunció que abandona el negocio global de certificados SSL/TLS.

Qué comprobar en el certificado de tu web

Quien tiene una web debe comprobar de qué autoridad depende su certificado, algo que se ve en los detalles del certificado que muestra el navegador.

Mozilla ya ha retirado de su lista de confianza la raíz que firmó las ocho autoridades intermedias, llamada emSign ECC Root CA – G3, y Google ha anunciado que hará lo mismo en Chrome. Los certificados que dependan de esa raíz dejarán de funcionar, así que habrá que instalar un nuevo certificado SSL emitido por otra jerarquía de certificación que Chrome incluya en su lista de confianza.

Actualización del 27 de octubre. El 26 de octubre CISA, la agencia de ciberseguridad de Estados Unidos, añadió CVE-2026-109618 y CVE-2026-109619 a su catálogo de vulnerabilidades explotadas, que exige pruebas de explotación activa. La retirada de la raíz de eMudhra en Chrome estaba prevista para el 27 de octubre, por lo que las webs con certificados que dependan de ella necesitan uno nuevo de otra jerarquía.

Comentarios