Las fallas pueden permitir que atacantes ejecuten código malicioso en servidores vulnerables sin autenticarse previamente. Aunque la mandataria confirmó que existen trabajos para proteger los sistemas gubernamentales, no detalló las acciones específicas adoptadas frente a estas amenazas.
¿Qué respondió Sheinbaum sobre la seguridad de los sistemas públicos?
Durante su conferencia matutina, Sheinbaum fue consultada sobre las vulnerabilidades y las recomendaciones internacionales para actualizar los sistemas afectados o, cuando no sea posible protegerlos oportunamente, considerar su desconexión temporal.
“Todos los sistemas de Internet tienen mucho más riesgos que los que tenían hace tiempo. ¿Qué hay que hacer? Pues fortalecer todos los mecanismos de seguridad, es lo que estamos haciendo”, aseveró Sheinbaum.
La Presidenta señaló que la Agencia de Transformación Digital y Telecomunicaciones participa en las tareas de protección de la infraestructura informática del gobierno federal. Sin embargo, su respuesta no incluyó un desglose de las medidas aplicadas para atender las fallas de PHP.
¿Qué riesgos representan las vulnerabilidades de PHP?
Identificadas como CVE-2026-109618 y CVE-2026-109619, ambas vulnerabilidades recibieron una calificación de gravedad de 9.2 sobre 10. El equipo de PHP publicó actualizaciones de seguridad el 21 de octubre para corregirlas.
Su explotación puede permitir, bajo determinadas condiciones, la ejecución remota de código sin credenciales previas. Esto abre la posibilidad de que un atacante realice acciones no autorizadas con los permisos del proceso afectado, acceda a información o interrumpa el funcionamiento de una aplicación.
El riesgo se concentra en instalaciones de PHP que atienden solicitudes web. La exposición de cada sistema depende de la versión instalada, la configuración del servidor y las condiciones necesarias para aprovechar las fallas.
Organismos internacionales llaman a actualizar los servidores
La Agencia de Seguridad Nacional de Estados Unidos y organismos europeos emitieron avisos para acelerar la aplicación de las correcciones. La prioridad es identificar dónde se utiliza PHP y actualizar las instalaciones afectadas, especialmente aquellas expuestas a Internet.
El Centro Nacional de Ciberseguridad del Reino Unido recomendó evaluar la desconexión temporal de los sistemas cuando no sea posible actualizarlos o aplicar las medidas provisionales indicadas por el proveedor.
Para quienes administran portales informativos, servicios digitales o aplicaciones web, las alertas implican revisar también los componentes de terceros que incorporan PHP y atender las instrucciones de sus proveedores.
Sin detalles sobre sistemas vulnerables en el gobierno mexicano
Claudia Sheinbaum no informó si las dependencias federales habían identificado instalaciones vulnerables ni si detectaron intentos de explotación relacionados con estas dos fallas.
Tampoco precisó qué sistemas fueron revisados o actualizados.
