Se ha detectado una vulnerabilidad crítica (CVE-2026-61511) en el software de foros vBulletin (versiones 5.x y 6.x) que permite a atacantes no autenticados ejecutar código PHP remoto. El fallo se debe a una sanitización insuficiente de datos en la función `runMaths()`, y ya existe un exploit público (PoC) disponible. Se recomienda actualizar a la versión 6.2.2 o aplicar los parches correspondientes para mitigar el riesgo.

vBulletin ha corregido la vulnerabilidad CVE-2026-61511, un fallo crítico de ejecución remota de código. Este error permitía que atacantes no autenticados ejecutaran código PHP arbitrario para comprometer servidores de foros vulnerables. El problema afectaba a las versiones 6.2.1 y anteriores, así como a las 6.1.6 y anteriores, localizándose específicamente en el método vB5_Template_Runtime::runMaths() del archivo /includes/vb5/template/runtime.php.

Un estudio reciente ha revelado que más del 70% de los sitios web de WordPress accesibles al público utilizan versiones obsoletas de PHP, lo que aumenta considerablemente su vulnerabilidad ante ciberataques. Este hallazgo evidencia una brecha de seguridad creciente en el ecosistema web global, donde millones de sitios dependen de tecnologías backend antiguas a pesar de existir actualizaciones de seguridad regulares.

Se han descubierto dos fallos críticos en la capa del controlador de base de datos de PHP, específicamente dentro de PHP Data Objects (PDO). Estas vulnerabilidades, presentes en los controladores para Firebird y PostgreSQL, permiten que atacantes evadan las medidas de seguridad para introducir datos maliciosos, exponiendo el sistema a riesgos de inyección de SQL en Firebird y ataques de denegación de servicio (DoS) en PostgreSQL.

Se han revelado múltiples vulnerabilidades de seguridad en PHP que podrían permitir a los atacantes provocar condiciones de denegación de servicio (DoS) y causar corrupción de memoria. Estos fallos, identificados como CVE-2026-12184 y CVE-2026-14355, afectan a diversas ramas activas del lenguaje y tienen un impacto significativo en aplicaciones web implementadas globalmente.

Una página de instalación de PHP mal configurada dejó expuesta la infraestructura interna de una plataforma activa de distribución de malware. Esto permitió que un investigador de seguridad obtuviera acceso administrativo accidental al panel de control de un actor de amenazas. Lo que parecía ser un sitio falso de descarga de software resultó ser un sistema backend activo utilizado para distribuir código malicioso.

Están explotando activamente una vulnerabilidad crítica de ejecución remota de código (RCE) en el plugin de WordPress Everest Forms Pro. Este fallo, identificado como CVE-2026-3300 con una puntuación CVSS de 9.8, permite que atacantes no autenticados inyecten y ejecuten código PHP arbitrario en sitios vulnerables. La falla afecta a todas las versiones hasta la 1.9.12.

Se han detectado dos vulnerabilidades críticas de seguridad de memoria en las funciones de procesamiento de imágenes de PHP. Estos fallos, encontrados en la extensión ext/standard por el investigador Nikita Sveshnikov, afectan específicamente a las funciones getimagesize e iptcembed. Según el reporte, un atacante podría utilizar archivos JPEG especialmente diseñados para filtrar memoria sensible del heap o ejecutar ataques de denegación de servicio (DoS).

Packagist ha alertado a los desarrolladores de PHP sobre un fallo en Composer (el gestor de dependencias de PHP) que provocó la filtración de tokens de autenticación de GitHub en registros de CI públicos. Este incidente genera una preocupación urgente debido a la posible exposición de credenciales en miles de proyectos de software activos a nivel mundial.

Se ha descubierto un grupo grave de vulnerabilidades en el procesamiento de cadenas del núcleo de PHP y en los componentes de ext-soap. Este fallo es crítico ya que permite la Ejecución Remota de Código (RCE) sin necesidad de autenticación, lo que pone a numerosos servidores web en riesgo inmediato de ser tomados totalmente bajo el control de un atacante.

PHP Composer lanzó actualizaciones de seguridad urgentes para abordar dos vulnerabilidades críticas de inyección de comandos. PHP Composer es una herramienta esencial de gestión de dependencias utilizada globalmente por desarrolladores, lo que hace que cualquier fallo de ejecución de código sea altamente preocupante. Estos errores específicos residen en el controlador del Sistema de Control de Versiones Perforce (VCS) y permiten a los atacantes ejecutar comandos arbitrarios en la máquina de una víctima.

Se ha descubierto una importante vulnerabilidad de seguridad en Livewire Filemanager, un componente de gestión de archivos ampliamente utilizado en aplicaciones web desarrolladas con Laravel. Registrada como CVE-2025-14894 y con la nota de vulnerabilidad VU#650657, esta falla permite a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables. El problema radica en una validación incorrecta de archivos en el componente LivewireFilemanagerComponent.php.

Se ha descubierto una vulnerabilidad crítica en la función extract() de PHP, que permite a los atacantes ejecutar código arbitrario aprovechando fallos de corrupción de memoria.

Se ha identificado una vulnerabilidad crítica en los flujos libxml de PHP, que podría afectar a las aplicaciones web que utilizan las extensiones DOM o SimpleXML para las solicitudes HTTP.

Existen varias alternativas para conectar el intérprete de PHP con Apache, cada una de ellas con sus ventaja e inconvenientes. Vamos repasar las principales e intentaremos responder a la pregunta de cuál es la más adecuada en función del uso que le vayamos a dar.

 

 

Un problema de seguridad en la última versión de WhatsApp para Windows permite enviar archivos adjuntos en Python y PHP que se ejecutan sin previo aviso cuando el destinatario los abre. Para que el ataque tenga éxito, es necesario tener instalado Python, un requisito previo que puede limitar los objetivos a desarrolladores de software, investigadores y usuarios avanzados.

Se ha revelado una nueva vulnerabilidad de ejecución remota de código (RCE) de PHP/PHP-CGI para Windows, que afecta a todas las versiones desde la versión 5.x y podría afectar a una gran cantidad de servidores en todo el mundo porque ya hay IOC y exploits disponibles.

Después de la alarma con el backdoor introducido en XZ Utils, llega esta vulnerabilidad grave de 24 años de antigüedad en GNU C Library (glibc). La vulnerabilidad afecta desde la versión 2.1.93 hasta las versiones anteriores a la 2.40.

Una antigua vulnerabilidad crítica reportada en 2021 en el plugin Kaswara del maquetador visual para WordPress, WPBaker, está siendo aprovechada activamente en reciente ola de ataques.