PHP en Costa Rica: 636 servidores siguen en peligro cinco días después

CVE-2026-109618 y 109619: 636 servidores, cinco días después

El 26 de octubre de 2026, cinco días después del parche de CVE-2026-109618 y CVE-2026-109619, en Byxel hicimos una consulta pasiva en Shodan, un índice público, y nos devolvió 636 servidores en Costa Rica que anuncian PHP en su cabecera HTTP y no anuncian ninguno de los cuatro builds corregidos.

"X-Powered-By: PHP" country:CR -"PHP/8.5.12" -"PHP/8.4.27" -"PHP/8.3.36" -"PHP/8.2.35"

NVD califica las dos CVE como CRITICAL: 9.8 en CVSS 3.1 y 9.2 en CVSS 4.0. Son fallas de ejecución remota de código. En un servidor vulnerable, quien las explota no se lleva una copia de los datos: toma control de la máquina. Y en una empresa esa máquina tiene nombre: la tienda que recibe pedidos, el portal de clientes, el módulo de pagos, el ERP que factura.

El artículo del 21 de octubre cerró con una pregunta: quién sabe qué versión corre dónde. Este número es la primera respuesta medida en Costa Rica.

Lo que el 636 no dice, y por qué eso te debería preocupar más

El 636 no dice que esos servidores sean vulnerables, explotables ni que estén comprometidos. Dice que anuncian PHP y que la versión anunciada no es ninguno de los cuatro builds corregidos. Tres límites lo acotan:

• Es un piso, no un total. La configuración recomendada, expose_php = Off, oculta la cabecera. Un servidor con una versión vieja y esa directiva no aparece en la cuenta.
• No distingue mod_php de FPM. El advisory del equipo de PHP (oss-security, 2026/10/21/6) demuestra la ejecución remota contra Apache con mod_php, sin autenticación. En FPM, que usa la mayoría de los despliegues modernos, hay susceptibilidad por análisis de código, pero no un exploit completo publicado.
• Incluye servidores ya corregidos o fuera de alcance. Shodan excluye cadenas exactas, no compara versiones. Un servidor en 8.4.28, ya parcheado, o en 7.4.33, fuera del alcance de estas CVE, cae dentro del 636. La consulta ampliada excluye además las ramas 7 y 5:

"X-Powered-By: PHP" country:CR -"PHP/8.5.12" -"PHP/8.4.27" -"PHP/8.3.36" -"PHP/8.2.35" -"PHP/7." -"PHP/5."

Esa consulta devuelve 631 servidores (medición del 26 de octubre de 2026).

Precisamente por eso, mirar desde afuera no alcanza. Un servidor tuyo puede estar fuera de la lista y sin parche, o dentro y ya corregido. La única forma de saberlo es revisar tu inventario desde adentro.

Cinco días es mucho tiempo para un escáner

El parche existe desde el 21 de octubre, pero solo protege el día en que alguien lo instala. En esa ventana no trabaja un atacante que eligió a tu empresa, sino el escaneo automatizado: herramientas que recorren rangos completos de direcciones, leen cabeceras como X-Powered-By y prueban lo que encuentran. No necesitan saber quién sos: les basta con que tu servidor responda.

El primer día nadie había tenido tiempo. Cinco días después, una versión sin corregir ya no es una sorpresa: es un proceso de parcheo que no está funcionando.

Para los servidores en PHP 8.1, que también entran en el 636, la ventana no se cierra nunca. Su soporte de seguridad terminó el 31 de diciembre de 2025, el último release de seguridad fue 8.1.34 (18 de diciembre de 2025) y php.net responde {"error":"Unknown version"} si se le pide 8.1.35. Son unos diez meses sin soporte de seguridad, no tres años: lo de noviembre de 2023 fue el fin del soporte activo. Si tu tienda o tu ERP corre en 8.1, la salida es migrar, y una migración se planea, no se improvisa.

¿No sabés en qué versión corre cada sistema de tu empresa? Eso es lo que responde la Auditoría Express de Byxel: 5 días, desde US$3.000, sobre tu propia infraestructura y con autorización escrita.

Tu aplicación puede estar al día y tu PHP no

636 servidores no son 636 empresas: en hosting compartido una sola IP puede alojar cientos de sitios, y Shodan cuenta la IP. Por eso no nombramos servidores, direcciones ni proveedores.

Lo que le importa al negocio es otra cosa: en un servidor compartido, la versión de PHP no la decide el dueño de la tienda, sino el proveedor. Tu aplicación puede estar impecable sobre un PHP que nadie de tu empresa controla. Si ese servidor se cae, los pedidos que no entran son tuyos. Si alguien entra por ahí, la explicación ante tus clientes la das vos, no el proveedor.

Tres preguntas para saber si estás en la lista

No hace falta Shodan, y no hace falta escanear nada que no sea tuyo. Respondé estas tres:

1. ¿Qué versión exacta de PHP atiende hoy cada sitio y sistema de tu empresa? La que sirve los requests, no solo la de php -v. Prueba rápida sobre tu dominio: curl -sI https://tudominio.com | grep -i x-powered-by. Si no devuelve nada, solo sabés que no lo anuncia.
2. ¿Quién, con nombre, aplica el parche en cada servidor? Si es el proveedor, ¿te confirmó por escrito la versión, si es mod_php o FPM y la fecha en que aplicó los builds del 21 de octubre?
3. ¿Cuánto tiempo tiene una CVE crítica para llegar a producción en tu empresa? Si no está escrito, la respuesta real es la que mide este artículo: cinco días y contando.

Si alguna respuesta fue "no sé", eso es lo que resolvemos en 5 días.

Qué tenés al final de la Auditoría Express

El 636 no baja con una herramienta nueva. Baja con gobernanza. Al cierre de los 5 días, la Auditoría Express te deja por escrito:

• Un inventario de versiones: cada aplicación PHP, el servidor donde vive, la versión exacta y si corre con mod_php o FPM.
• Un dueño por servidor: quién responde por cada línea del inventario, de tu equipo o del proveedor.
• Qué parchear primero: el orden de prioridad para tu infraestructura.
• Una ventana de parcheo: cuánto tiempo tiene una falla crítica para llegar a producción y quién la aprueba.

El 636 sale de un índice público consultado de forma pasiva. En tu empresa trabajamos solo con autorización escrita. Nunca escaneamos servidores ajenos.

Para seguir leyendo: las dos fallas de PHP del 21 de octubre, un caso real de wp2shell en WordPress y por qué los sistemas heredados se cobran juntos en una migración.

Cinco días después del parche, la pregunta ya no es si PHP tuvo una falla. Es si tu empresa sabe dónde corre. Si hoy no podés decir qué versión atiende tu tienda, tus pagos o tu ERP, ni quién la parchea, en 5 días podés tenerlo por escrito. Auditoría Express desde US$3.000, con autorización escrita. Escribinos hoy por WhatsApp y agendamos el arranque.