Resumen

  • La desconexión preventiva de RIPE NCC afectó cuatro direcciones de su Academia, la Number Resource Organization y la Address Supporting Organization de ICANN.
  • PHP publicó versiones corregidas el 21 de octubre; el registro de RIPE sitúa la vuelta de los sitios el día 23, conforme estuvieron listas las actualizaciones y sus dependencias.

Publicar un parche es una cosa; devolver varios sitios a la vida es otra, con su propia cola.

A las 17:37 CEST del 21 de octubre, la página de estado de RIPE NCC informó que cuatro sitios habían quedado fuera de línea. El registro del incidente enumera academy.ripe.net, elearning-2.ripe.net, www.nro.net y aso.icann.org/aso-ac/. El aviso de RIPE NCC describe la medida como preventiva tras detectarse dos vulnerabilidades críticas de PHP. La organización dijo que no tenía indicios de que se hubieran explotado en sus sistemas.

Las fechas importan. El aviso de seguridad del proyecto PHP estaba previsto para el 21 de octubre a las 14:00 UTC. Identifica CVE-2026-109618, una corrupción de memoria ligada a la falta de memoria, y CVE-2026-109619, un estado obsoleto que permanece entre solicitudes. PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 incorporaron las correcciones. Las fallas podían permitir ejecución remota de código en instalaciones web con PHP.

El registro público de RIPE NCC también marca el ritmo de la recuperación. El 22 de octubre, el equipo informó de que los parches de origen estaban disponibles y que actualizaba los servicios conforme lo permitían sus dependencias. A las 09:22 CEST del día 23, la Academia y el sitio de aprendizaje electrónico ya estaban accesibles. A las 14:32, RIPE marcó todos los servicios como restablecidos.

Ese es el tramo menos vistoso de una respuesta: el parche existe, pero el servicio sigue esperando su propia ruta de actualización. «Parche publicado» es un hito del software. «Sitio restaurado» es una decisión operativa que llega cuando el código, las dependencias y el servicio están listos a la vez.

Las cuatro direcciones también delimitan la medida. La Academia ofrece formación; los otros dos sitios sirven de entrada al NRO y al ASO. El sistema de estado de RIPE NCC clasifica el incidente bajo «servicios no críticos (RIPE NCC Academy)». La etiqueta ayuda a ordenar prioridades. El registro público no explica cómo se alojaban los sitios, qué dependencia retrasó la recuperación ni si había otra vía pública para consultar su información durante el corte.

La decisión que sí consta es clara: retirar el acceso mientras se completaba la actualización. El calendario público registra la vuelta. El trayecto de despliegue que conectó ambos puntos sigue fuera de escena.