Esto está sucediendo al mismo tiempo que otra vulnerabilidad crítica no relacionada que afecta a todo dispositivo conectado a Internet, incluyendo los dispositivos móviles, más información en nuestro artículo: Vulnerabilidad Crítica: Certificados Comprometidos de Autoridad Certificadora eMudhra Octubre 2026 personas expuestas a ciberataques como empresarias, periodistas y activistas deben tomar medidas lo antes posible.

Información para operadores de servidores y plataformas en línea que funcionan con PHP

Esta sección está en desarrollo y estará recibiendo actualizaciones durante el día. Agradecemos retroalimentación y consultas mediante nuestro formulario de contacto, chats, correo o escribiendo a Elías en el Fediverso.

Versiones de PHP afectadas

Todas las versiones de PHP:

• PHP < 8.5.12
• PHP < 8.4.27
• PHP < 8.3.36
• PHP < 8.2.35
• Versiones PHP 8.1 o inferiores ya no cuentan con soporte oficial del proyecto PHP. Sin embargo debido a la gravedad del problema, hay parches que disponibles en ciertos canales de soporte de largo plazo.

Usualmente los servidores web obtienen PHP mediante distintos canales de distribución y no del proyecto PHP directamente. Algunos reciben actualizaciones de PHP por medio del sistema operativo y otros mediante repositorios especializados o por proveedores como cPanel o Plesk.

Por ejemplo servidores con Debian stable reciben actualizaciones de seguridad para la versión 8.4. Versiones de Debian inferiores a 13 no tienen parches de seguridad provistos por Debian en este momento.

Mitigación de Vulnerabilidades

La mejor estrategia es actualizar:

• Debian 13: DSA-6574-1 php8.4 https://lists.debian.org/debian-security-announce/2026/msg00489.html
• Servidores con WHM/cPanel: Versiones 7.4, 8.0, 8.1, 8.2, 8.3, 8.4 y 8.5 Critical PHP Security Release – CVE-2026-109618 and CVE-2026-109619. Versiones inferiores a 7.4 no tienen parche en este momento. Versiones inferiores están disponibles para servidores con suscripciones especiales como CloudLinux o Imunify.
• Servidores Debian y Ubuntu con repositorios de Ondřej Surý: Versiones 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2, 8.3, 8.4, 8.5
• Sistemas con Cloudflare y otros sistemas CDN: filtros externos WAF como Cloudflare están aplicando filtros externos que protegen sitios web, mientras se puede ir actualizando los sistemas.

Es importante tomar en cuenta que algunos sistemas de

Clientes de Impulsa IT Solutions

En Impulsa IT Solutions estamos trabajando para actualizar y proteger todos los sistemas en la nube gestionados para nuestros clientes. Estamos asegurándonos que servidores web y plataformas en línea gestionadas por nosotros reciban los parches de seguridad lo antes posible. Clientes de Hospedaje Compartido con cPanel, Aplicaciones y Sistemas en la Nube no deben tomar ninguna acción.

Clientes con contrato de soporte activo que incluya soporte y mantenimiento de infraestructura IT recibirán las actualizaciones de manera urgente en servidores y otros sistemas aplicables por parte de nuestro equipo de soporte lo antes posible y estaremos comunicándonos para que los equipos de TI de nuestros clientes puedan tomar acción en los sistemas que administran internamente o son gestionados por terceros. En caso de dudas o consultas por favor comunicarse con nuestro equipo por los medios habituales o usando nuestro formulario web de soporte.

Si usted no tiene una suscripción de soporte y le gustaría contratar nuestro servicios conversemos usando nuestro formulario web de ventas, usando el correo ventas@impulsait.com o cualquier de nuestros canales de contacto de ventas y con gusto le podemos cotizar nuestro trabajo.

Referencias:

• https://www.php.net/index.php#2026-10-21-5
• https://delfino.cr/2026/10/gobierno-alerta-a-instituciones-por-falla-critica-en-lenguaje-de-programacion-que-pone-en-jaque-a-buena-parte-de-internet

Al mismo tiempo existe otra vulnerabilidad aparte que afecta sitios web que utilizan el sistema PHP. Quienes administran servidores y plataformas web deben tomar acciones para corregir ambas vulnerabilidades.

¿Qué tan grave es este compromiso de la Autoridad Certificadora eMudhra?

Es un peligro crítico para todas las personas que utilizan Internet para comunicarse y acceder a plataformas digitales. Es urgente que todas las personas actualicen sus navegadores web tanto en dispositivos móviles y computadoras de escritorio. Quienes que administran servidores de Internet deben tomar acciones para proteger las comunicaciones de sus personas usuarias.

Quienes utilizan dispositivos móviles deben asegurarse de que todas las aplicaciones, especialmente los navegadores web, estén actualizadas. Para esto pueden usar las herramientas como Google Play o las “App Stores” correspondientes.

¿Por qué es tan grave el compromiso de una Autoridad Certificadora?

Todos los datos que viajan por Internet son protegidos con una tecnología llamada TLS (antes llamada SSL). Esta tecnología utiliza algoritmos matemáticos para que nuestras comunicaciones sean seguras y no puedan ser interceptadas por terceros.

Los certificados comprometidos de una autoridad certificadora permiten a atacantes informáticos generar certificados digitales falsos y romper la seguridad de nuestras comunicaciones.

Existe un riesgo especialmente grave para personas periodistas, comunicadoras, activistas, funcionarias públicas, políticas, empresarias y otras que son blancos frecuentes de ciberataques.

¿Cómo puedo probar si mis comunicaciones son vulnerables por el compromiso de la Autoridad Certificadora eMudhra?

Visite este sitio https://emudhra.we-have-a-problem.com/#check y verifique la sección “Does your client still trust the compromised intermediates?”

Si todas las columnas dicen “ Did not connect” su navegador web está protegido. Si aparece el texto “ Connected” debe aplicar actualizaciones de seguridad para su navegador y también su sistema operativo.

Considere probar en múltiples navegadores, en línea de comandos (terminal o cmd: command prompt) y en distintos dispositivos.

En servidores y sistemas con línea de comandos puede ejecutar curl o alguna otra herramienta equivalente:

 curl https://dv-g3b-emudhra.we-have-a-problem.com/
 curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com/

Debe recibir un mensaje de error de validación de certificados. En caso de ver el siguiente mensaje:

 Your client successfully connected to the site. That's bad!"

debe aplicar actualizaciones u otras medidas correctivas lo antes posible para su sistema.

En ambientes donde existan aplicaciones aisladas con tecnologías de virtualización o de contenedores como Docker o LXC es importante actualizar y verificar cada contenedor, no es suficiente actualizar el servidor anfitrión.

Es importante considerar que hay que actualizar todos los Almacenes de Certificados que use cada sistema, por ejemplo, usualmente los navegadores web y el sistema operativo utilizan sistemas independientes y requieren actualizaciones por aparte.

Clientes de Impulsa IT Solutions

En Impulsa IT Solutions estamos trabajando para actualizar y proteger todos los sistemas en la nube gestionados para nuestros clientes. Clientes de Hospedaje Compartido con cPanel, Aplicaciones y Sistemas en la Nube no deben tomar ninguna acción.

Clientes con contrato de soporte activo que incluya soporte y mantenimiento de infraestructura IT recibirán actualizaciones en servidores, enrutadores y otros sistemas aplicables por parte de nuestro equipo de soporte lo antes posible. En caso de dudas o consultas por favor comunicarse con nuestro equipo por los medios habituales o usando nuestro formulario web de soporte.

Si usted no tiene una suscripción de soporte y le gustaría contratar nuestro servicios conversemos usando nuestro formulario web de ventas, usando el correo ventas@impulsait.com o cualquier de nuestros canales de contacto de ventas y con gusto le podemos cotizar nuestro trabajo.

¿Cómo funciona TLS y las Autoridades Certificadoras?

Para que TLS proteja nuestras comunicaciones en Internet existe una relación de confianza encadenada:

Nosotros → Fabricantes de Software → Autoridades Certificadoras.

• Nosotros confiamos en las organizaciones que crean y gestionan nuestros sistemas operativos y navegadores web, específicamente Mozilla, Microsoft, Google y Apple.
• Estas 4 organizaciones confían mediante un proceso auditado estricto en una lista selecta de empresas y organizaciones que pueden crear certificados digitales.
• Estas organizaciones son llamadas Autoridades Certificadoras y emiten unos archivos especiales llamados certificados digitales que servidores web y otros sistemas utilizan para proteger nuestras comunicaciones con TLS.
• Nuestros dispositivos confían en cualquier certificado digital emitido por las autoridades certificadoras que están en esa lista. En cada dispositivo y navegador web los fabricantes de software gestionan una lista llamada “Almacenes de Certificados” que deben mantener actualizada.
• La seguridad de nuestras comunicaciones dependen de confiar que estas entidades emitan certificados mediante protocolos estrictos de validación de identidad y protección absoluta de unos archivos especiales llamados llaves privadas.
• Para ganarse y mantener esta confianza, las autoridades certificadoras deben demostrar mediante auditorías imparciales el cumplimiento de estrictos estándares internacionales que involucran contar con personal experto, herramientas y tecnológicas certificados, demostrar capacidad para ejecutar sofisticados procesos que son auditados regularmente.
• Cuando esta confianza se rompe, ya sea por fraude o errores de procedimiento (como en este caso) se inicia un proceso de actualización de miles de millones de dispositivos alrededor del mundo para eliminar la autoridad comprometida de cada Almacén de Certificados, este proceso es lento y cada día de atraso pone en riesgo las comunicaciones de todos los dispositivos conectados a Internet del planeta. No es una exageración.
• La vulnerabilidad de la Autoridad Certificadora eMudhra es justamente un fallo muy grave en los procedimientos de creación y resguardo de estas llaves privadas. Uno de los errores más notable es el uso de contraseñas extremadamente cortas, como por ejemplo: “4” (el número 4) es la contraseña de una de las llaves privadas de la autoridad certificadora.

En cuento tengamos más información estaremos actualizando este artículo. Agradecemos cualquier retroalimentación y comentarios.