Resumen

  • ICANN desactivó temporalmente tres sitios basados en PHP tras la divulgación de dos fallos críticos de ejecución remota de código.
  • Los sistemas de solicitudes y publicación de nuevos gTLD siguieron disponibles porque no usaban PHP; los tres sitios regresaron tras probar el parche.

La respuesta de ICANN trazó una frontera clara en su propio entorno web: tres sitios se apagaron, mientras seguían funcionando los sistemas que reciben solicitudes para nuevos dominios genéricos de nivel superior y publican sus resultados. La diferencia estaba en el software que había debajo.

El 21 de octubre, el proyecto PHP publicó un aviso sobre dos fallos críticos que podían permitir la ejecución remota de código sin autenticación. Uno afectaba al manejo de falta de memoria durante la limpieza de una solicitud; el otro, al uso de estado interno obsoleto después de liberar la memoria que lo almacenaba. El proyecto publicó correcciones en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

ICANN dijo que desactivó temporalmente el sitio de la Organización de Apoyo para Nombres Genéricos (GNSO) y los sitios de las rondas 2026 y 2012 del programa de nuevos gTLD porque funcionaban con PHP. La organización dijo que no había indicios de que sus sistemas hubieran sufrido un impacto negativo. El sitio de Publicación y Estadísticas de Solicitudes (APS) y el Sistema de Gestión de Solicitudes de Dominios de Nivel Superior (TAMS) siguieron disponibles porque no se basaban en PHP.

La separación tuvo un efecto práctico para quienes preparan solicitudes: la Guía del Solicitante de la ronda 2026 siguió accesible desde ICANN.org mientras el sitio de la ronda estaba fuera de línea. El 22 de octubre, ICANN informó que había aplicado y probado el parche de PHP Foundation y que los tres sitios ya estaban restaurados.

Fue una interrupción breve con un límite visible. Los sitios públicos compartían un entorno PHP vulnerable; los sistemas de solicitudes y publicación quedaban fuera de esa dependencia. Una ruta alternativa mantuvo disponible el documento de referencia del programa. La secuencia muestra hasta dónde llegaba la dependencia: a un conjunto de páginas, no a cada servicio asociado con la ronda.

ICANN no identificó qué versiones de PHP corrían en esos tres sitios. Su propio relato basta para ver la división: los sitios se aislaron, los sistemas centrales siguieron disponibles y la restauración llegó tras probar el parche.

Fuentes: Respuesta y restauración comunicadas por ICANN; aviso de seguridad del proyecto PHP.