El equipo de desarrollo de PHP ha publicado un aviso de seguridad crítico que afecta a múltiples versiones soportadas, permitiendo la ejecución remota de código (RCE). La falla, catalogada con severidad crítica en CVSS, permite a atacantes no autenticados tomar control de servidores web vulnerables.
Versiones Afectadas y Vector de Ataque
El fallo se origina en la validación insuficiente de cadenas de consulta y manejo de codificaciones multibyte. Las ramas afectadas incluyen compilaciones sin parchear de PHP 8.1, 8.2 y 8.3, con mayor riesgo en entornos bajo FastCGI.
Medidas de Mitigación Inmediata
Se insta a los administradores a actualizar inmediatamente a las versiones seguras publicadas a través de sus gestores de paquetes. Si la actualización inmediata no es factible, se deben activar firmas de filtrado en WAF para bloquear patrones de ataque conocidos.