Resumen

  • Ofcom pidió el 23 de octubre a proveedores de comunicaciones y operadores de servicios esenciales digitales que prestaran atención urgente a la alerta británica sobre dos vulnerabilidades de PHP.
  • En los próximos días y semanas hablará con servicios bajo su supervisión para entender las medidas de reparación dentro de sus obligaciones regulatorias.

El parche puede empezar en un servidor, pero la pregunta difícil aparece en otro sitio: ¿sabe el operador cuántas puertas dependen de ese servidor? Ofcom ha llevado la alerta de PHP a los proveedores de comunicaciones y a los operadores de servicios esenciales de la infraestructura digital. Después de la advertencia del NCSC, el regulador dice que conversará con los servicios supervisados para conocer su respuesta. El trabajo ya no cabe en un simple «actualizado» escrito en la pantalla.

El centro británico de ciberseguridad identifica CVE-2026-109618 y CVE-2026-109619. Los errores afectan al tratamiento de memoria de las solicitudes: uno aparece al agotarse la memoria y el otro puede conservar estado después de liberar la memoria que lo sustentaba. Bajo determinadas condiciones, un atacante podría ejecutar código a distancia sin autenticarse. PHP se asocia con sitios web, pero también vive en interfaces y productos que sostienen servicios conectados. Hallar esas copias es el primer paso verificable.

El proyecto PHP corrigió las dos vulnerabilidades en 8.5.12, 8.4.27, 8.3.36 y 8.2.35; algunos proveedores distribuyen paquetes con arreglos adaptados a versiones anteriores. El NCSC recomienda localizar instalaciones de todas las versiones, empezar por las expuestas a Internet e instalar las correcciones. Si no es posible actualizar enseguida, propone mitigaciones temporales; cuando tampoco puedan aplicarse a tiempo, aconseja considerar sacar el sistema de línea. Para los servicios que deban seguir activos sin arreglo inmediato, pide buscar indicios de compromiso antes de intervenir.

La nota de Ofcom no enumera compañías afectadas. Sí anuncia una conversación sobre reparación y deberes de los servicios supervisados. Ahí se ve la diferencia entre distribuir un parche y gobernar su despliegue: alguien ha de conocer el inventario, priorizar la exposición y responder por cada sistema que espere turno.