La agencia de ciberseguridad de Singapur reporta explotación de CVE-2026-109618 y CVE-2026-109619 en interfaces de administración expuestas de firewalls Palo Alto Networks. Recomienda revisar avisos de cada fabricante, actualizar y restringir el acceso administrativo. Para instalaciones PHP, CISA señala como versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35; la protección del firewall se consulta en su propio fabricante. CISA: cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
El Resumen (Sin rodeos)
Singapur alertó sobre explotación de CVE-2026-109618 y CVE-2026-109619 en interfaces de administración expuestas de firewalls Palo Alto Networks: recomienda revisar los avisos de cada fabricante, actualizar y restringir el acceso administrativo. El caso PHP —vinculado al apodo PHP2Shell— tiene versiones corregidas señaladas por CISA: 8.5.12, 8.4.27, 8.3.36 y 8.2.35; la protección del firewall se consulta con su propio fabricante.
Lo primero que se me viene a la mente
Dos fallas en firewalls de Palo Alto con interfaces de administración expuestas a internet es la receta de pesadilla: el guardián de la puerta deja la puerta trasera entreabierta. La recomendación de Singapur —restringir el acceso administrativo— es la parte que nadie lee y todos necesitan: el panel de administración no debería ser visible para el mundo. Lo de PHP llega como paquete aparte con sus cuatro versiones parchadas, porque en esta historia hay de todo: firewall, PHP y un apodo (PHP2Shell) que ya suena a nombre de película de terror de los años 2000.
¿Quién es quién en la noticia?
- Agencia de ciberseguridad de Singapur (CSA) — Quien emitió la alerta sobre los firewalls.
- Palo Alto Networks — El fabricante de los firewalls afectados; sus interfaces de administración son el objetivo.
- CVE-2026-109618 y CVE-2026-109619 — Los identificadores de las dos fallas explotadas.
- CISA — La agencia de EE. UU. que señala las versiones de PHP corregidas.
- PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 — Las versiones parchadas; actualizar cierra la falla.
Compartir