Como parte de nuestro compromiso permanente con la seguridad y estabilidad de los servicios de hosting, queremos informarle sobre la reciente publicación de vulnerabilidades de seguridad que afectan a determinadas versiones de PHP.

Vulnerabilidades identificadas

De manera particular, se han reportado las vulnerabilidades críticas:

  • CVE-2026-109618
  • CVE-2026-109619

Estas vulnerabilidades podrían permitir a un atacante explotar determinadas funcionalidades de PHP bajo condiciones específicas, comprometiendo potencialmente la confidencialidad, integridad o disponibilidad de las aplicaciones afectadas.

Acciones realizadas en nuestra infraestructura

Tras analizar el alcance de los avisos de seguridad publicados por el proyecto PHP, nuestro equipo técnico implementó de forma preventiva las siguientes medidas en todos los servidores afectados:

  • Actualización de las versiones de PHP a las ediciones que incorporan los parches de seguridad oficiales.
  • Aplicación de las correcciones correspondientes para las vulnerabilidades CVE-2026-109618 y CVE-2026-109619.
  • Verificación del correcto funcionamiento de los servicios web y aplicaciones hospedadas.
  • Refuerzo de las políticas de seguridad de la plataforma.
  • Monitorización adicional para detectar cualquier actividad anómala relacionada con estas vulnerabilidades.

Desactivación de la directiva session.upload_progress.enabled

Como medida adicional de protección, también se ha deshabilitado la siguiente directiva de PHP:

session.upload_progress.enabled = Off

¿Por qué se realizó este cambio?

La funcionalidad Upload Progress de PHP permite realizar un seguimiento en tiempo real del avance de la carga de archivos mediante el uso de variables de sesión. Sin embargo, esta característica ha sido relacionada con vectores de ataque utilizados en diversas vulnerabilidades históricas de PHP, ya que puede exponer información de sesión o facilitar determinados mecanismos de explotación cuando existen otras condiciones vulnerables.

Debido a que esta funcionalidad rara vez es utilizada por las aplicaciones web modernas y representa una superficie de ataque innecesaria, se decidió deshabilitarla como medida preventiva y alineada con las mejores prácticas de endurecimiento (Hardening) de servidores.

¿Afecta a mis sitios web o aplicaciones?

No.

La gran mayoría de sitios web, CMS y aplicaciones actuales, incluyendo WordPress, Joomla, Drupal, PrestaShop, Magento, Laravel y otras plataformas populares, no dependen de esta funcionalidad para su operación normal.

Por lo tanto, la desactivación de session.upload_progress.enabled no afecta el funcionamiento habitual de los sitios alojados en nuestros servidores, ni impacta las cargas de archivos estándar realizadas desde formularios, paneles de administración o aplicaciones web comunes.

Estado actual de los servicios

Nos complace informar que todos nuestros servidores se encuentran protegidos y operando con normalidad, incorporando las actualizaciones y medidas de seguridad correspondientes.

Hasta el momento:

  •  No se han detectado incidentes relacionados con las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 en nuestra infraestructura.
  •  Los servidores cuentan con las actualizaciones de seguridad aplicadas.
  •  Los servicios de hosting continúan funcionando de manera estable y segura.
  •  Se han implementado medidas adicionales de endurecimiento para minimizar riesgos futuros.

Nuestro compromiso

La seguridad de nuestros clientes es una prioridad. Continuaremos monitorizando activamente los avisos de seguridad publicados por los principales fabricantes de software y aplicando de forma proactiva las actualizaciones necesarias para garantizar la protección de todos los servicios alojados en nuestra infraestructura.

Agradecemos su confianza. Para cualquier duda o asistencia adicional, nuestro equipo de soporte técnico se encuentra a su disposición.

Preguntas Frecuentes (FAQ)

 

¿Qué son las vulnerabilidades CVE-2026-109618 y CVE-2026-109619?

Son vulnerabilidades de seguridad identificadas en determinadas versiones de PHP que podrían permitir la explotación de comportamientos no deseados bajo circunstancias específicas. Debido a su nivel de severidad, los desarrolladores de PHP publicaron actualizaciones de seguridad para corregir estos problemas.

¿Mi sitio web estuvo en riesgo?

No. Como parte de nuestro proceso de gestión de vulnerabilidades, se aplicaron las actualizaciones y parches de seguridad correspondientes tan pronto como estuvieron disponibles, minimizando cualquier riesgo para los servicios alojados en nuestra infraestructura.

¿Debo realizar alguna acción en mi cuenta de hosting?

No es necesario realizar ninguna acción relacionada con estas vulnerabilidades a nivel de servidor. Nuestro equipo técnico ya implementó las actualizaciones necesarias.

Sin embargo, recomendamos mantener actualizados:

  • WordPress, Joomla, Drupal u otros CMS.
  • Plugins y extensiones.
  • Temas o plantillas.
  • Aplicaciones desarrolladas a medida.

¿Qué significa que PHP fue actualizado?

Significa que los servidores fueron migrados a versiones de PHP que incluyen las correcciones oficiales de seguridad publicadas por los desarrolladores del proyecto PHP. Esto garantiza que las vulnerabilidades conocidas hayan sido mitigadas.

¿Por qué se deshabilitó session.upload_progress.enabled?

Esta funcionalidad permite realizar un seguimiento del progreso de carga de archivos mediante variables de sesión. Aunque se trata de una característica legítima de PHP, históricamente ha estado relacionada con diversas técnicas de explotación y ha formado parte de vectores utilizados en algunas vulnerabilidades de seguridad.

Como medida preventiva y siguiendo las mejores prácticas de endurecimiento de servidores, se decidió deshabilitar esta funcionalidad para reducir la superficie de ataque de la plataforma.

¿La desactivación de session.upload_progress.enabled afecta mi sitio web?

No. La inmensa mayoría de aplicaciones modernas no utilizan esta característica.

CMS populares como:

  • WordPress
  • Joomla
  • Drupal
  • PrestaShop
  • Magento
  • Moodle
  • Laravel

funcionan normalmente con esta directiva deshabilitada.

Las cargas de archivos, formularios, galerías de imágenes, gestores multimedia y demás funcionalidades habituales continúan operando sin cambios.

¿Cómo puedo saber si mi aplicación utiliza esta función?

Es poco habitual que una aplicación la requiera. Si dispone de un desarrollo personalizado que muestra una barra de progreso de subida basada específicamente en la característica nativa de PHP Upload Progress, puede contactar con nuestro equipo de soporte para evaluar su caso particular.

¿Las actualizaciones provocaron interrupciones del servicio?

No. Las actualizaciones fueron implementadas mediante procedimientos controlados y verificadas posteriormente para asegurar la continuidad operativa de los servicios.

¿Mis datos y correos electrónicos están seguros?

Sí. Las vulnerabilidades corregidas estaban relacionadas con el entorno de ejecución de PHP. Tras la aplicación de los parches de seguridad y medidas adicionales de protección, la infraestructura se encuentra protegida y operando con normalidad.

¿Qué medidas adicionales toma la empresa para proteger los servidores?

Nuestra infraestructura se encuentra bajo un proceso continuo de seguridad que incluye:

  • Monitorización permanente de vulnerabilidades.
  • Aplicación proactiva de actualizaciones de seguridad.
  • Endurecimiento de configuraciones de sistema operativo y servicios.
  • Sistemas de detección y mitigación de amenazas.
  • Auditorías periódicas de seguridad.
  • Supervisión 24/7 de la infraestructura.

Resumen 

  •  Vulnerabilidades CVE-2026-109618 y CVE-2026-109619 corregidas.
  •  Versiones de PHP actualizadas en todos los servidores afectados.
  •  Directiva session.upload_progress.enabled deshabilitada como medida preventiva.
  •  Sin impacto para sitios web convencionales ni aplicaciones populares.
  •  Infraestructura protegida, monitorizada y operando con normalidad.


Viernes, Octubre 23, 2026



« Atrás