Alerta mundial en PHP: actualización urgente de seguridad en FacturaONE
Comunicado de FacturaONE · 22 de octubre de 2026
Dos vulnerabilidades críticas en PHP han desencadenado una respuesta de emergencia internacional. Numerosas organizaciones han desconectado sus webs preventivamente. En FacturaONE he trabajado durante toda la noche para aplicar las actualizaciones de seguridad y mantener el servicio operativo.
Dos vulnerabilidades críticas con una gravedad de 9,2 sobre 10
El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para corregir dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación de gravedad de 9,2 sobre 10, según el aviso de CERT-EU.
Estos fallos pueden permitir que un atacante ejecute código de forma remota en un servidor vulnerable sin necesidad de iniciar sesión ni disponer de una contraseña. Si se explotan con éxito, pueden comprometer el funcionamiento del sistema y la información accesible para el proceso afectado.
La urgencia está justificada: PHP informa de una demostración de ataque contra determinadas configuraciones capaz de actuar incluso antes de que se ejecute el código de la aplicación. Por eso, las autoridades y los responsables de PHP han pedido actuar inmediatamente.
Un problema de seguridad de alcance mundial
PHP es una tecnología que funciona en los servidores y permite realizar operaciones habituales de una web: procesar formularios, consultar bases de datos, gestionar usuarios y ejecutar aplicaciones.
Su uso está muy extendido. El problema afecta a un componente compartido por numerosas plataformas y servicios, por lo que la respuesta ha movilizado a administradores, proveedores de alojamiento y responsables de seguridad de distintos países.
El origen de esta alerta está en PHP y su alcance es mundial. FacturaONE utiliza esta tecnología y ha tenido que responder a la misma emergencia que muchas otras organizaciones.
La Comisión Europea, ENISA, CERT-EU, Europol y la red europea de equipos de respuesta a incidentes emitieron un aviso conjunto para exigir una actuación inmediata.
Muchas páginas web han sido desconectadas por completo como medida preventiva
La gravedad de esta alerta ha llevado a muchas organizaciones de todo el mundo a suspender completamente el acceso público a sus páginas web mientras aplican las correcciones.
Reuters y Xataka han informado de desconexiones de webs y servicios públicos en países como Países Bajos, Finlandia, Dinamarca y Francia. La respuesta internacional también ha incluido interrupciones preventivas en otros servicios y organizaciones.
Esta decisión sigue una recomendación expresa de las autoridades: cuando no sea posible aplicar las correcciones a tiempo, debe considerarse aislar las aplicaciones expuestas a Internet hasta poder corregirlas.
Una desconexión preventiva, por sí sola, no demuestra que haya ocurrido un ataque. Su finalidad es reducir la exposición durante la intervención. La suspensión del servicio puede ser una medida necesaria ante un riesgo de esta magnitud.
La solución exige actualizar PHP con las correcciones de seguridad
El equipo de PHP publicó versiones corregidas el 21 de octubre y recomendó actualizar inmediatamente. Las primeras versiones de cada rama que incorporan estas correcciones son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. También pueden existir paquetes corregidos proporcionados por las distribuciones y los proveedores.
Lo decisivo es tener las correcciones aplicadas en el servidor. Cambiar únicamente el número principal de versión o actualizar un gestor de contenidos no acredita que estas vulnerabilidades estén corregidas.
El aviso oficial de PHP advierte de que las mitigaciones temporales reducen determinados riesgos, pero que la actualización es la solución completa para estas vulnerabilidades.
Actualización urgente de FacturaONE y trabajo durante toda la noche
POR PRECAUCIÓN Y ANTE LA GRAVEDAD DE LA ALERTA, HE ACTUALIZADO DE URGENCIA EL SISTEMA PHP DE FACTURAONE.
Como responsable de FacturaONE, he trabajado durante toda la noche para aplicar las actualizaciones de seguridad correspondientes y conseguir que esta mañana el servicio estuviera operativo.
El objetivo ha sido proteger el sistema y permitir que pudieras continuar trabajando, evitando una suspensión prolongada del servicio.
La intervención también ha exigido revisar la compatibilidad del programa con la nueva versión de PHP. Ese trabajo continúa con la localización y corrección de las incidencias que aparecen al utilizar las distintas funciones.
FacturaONE está operativo y las incidencias se están corrigiendo
FacturaONE ya está operativo con las actualizaciones de seguridad aplicadas. Al mismo tiempo, el cambio de versión está provocando errores en algunas funciones, que estoy revisando y corrigiendo progresivamente.
Corregir las vulnerabilidades de PHP y completar los ajustes de compatibilidad del programa son trabajos distintos. Por eso, el servicio puede tener ya las correcciones de seguridad aplicadas y seguir necesitando ajustes en determinadas pantallas u operaciones.
Sé que una incidencia en tu programa de gestión afecta directamente a tu trabajo. Cada fallo detectado requiere localizar su causa, aplicar la corrección y comprobar que la función vuelve a responder correctamente.
Si encuentras un error, indícame en qué pantalla ocurre, qué operación estabas realizando y qué mensaje aparece. Una captura puede ayudar a identificarlo con más rapidez.
Mi prioridad es proteger FacturaONE, mantener el servicio disponible y resolver las incidencias pendientes.
Gracias por tu paciencia y comprensión durante esta actualización extraordinaria. Disculpa las molestias que está ocasionando.
Fuentes para comprobar la información
- PHP: aviso oficial y actualizaciones de seguridad.
- CERT-EU: aviso de seguridad sobre las vulnerabilidades críticas.
- ENISA: comunicado conjunto de las autoridades europeas.
- NCSC del Reino Unido: recomendaciones de actuación inmediata.
- Reuters: desconexiones y respuesta internacional.
- Xataka: «Un fallo crítico en PHP pone en jaque a medio Internet en todo el mundo».
