Fallo crítico en PHP: qué hacer si tienes criptomonedas en España

El lenguaje PHP, con el que funciona buena parte de las webs del mundo, publicó el 21 de octubre parches para dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, que permiten a un atacante sin credenciales ejecutar código en el servidor. El INCIBE-CERT los recoge en su aviso INCIBE-2026-762 con la importancia más alta de su escala, 5 sobre 5, y una puntuación CVSS de 9,2. Ya se están explotando: hubo ataques antes de que existiera el parche y Cloudflare habla de millones de intentos. Para quien tiene criptomonedas en España, el problema no está en Bitcoin ni en Ethereum, que no dependen de PHP, sino en las webs: un exchange, una pasarela de pago o un foro que tarde en actualizar puede servir una página manipulada. Los próximos días toca entrar sólo desde marcadores guardados, desconfiar de cualquier enlace y no firmar nada que no se entienda.

¿Qué ha pasado exactamente?

Son dos errores en el núcleo de PHP, no en una aplicación concreta. Según la PHP Foundation, el primero corrompe la memoria cuando una petición agota el límite de memoria en el momento justo, y el segundo deja datos de una petición anterior al alcance de la siguiente. Con Apache y mod_php, el primero se puede disparar sin autenticación antes de que se ejecute una sola línea de la aplicación; en PHP-FPM se confirmó por rutas del propio código de la aplicación.

Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1, 8.0 y 7.4 ya no reciben actualizaciones normales, y para ellas PHP ha publicado parches de código. La publicación estaba prevista para el 22 de octubre y se adelantó un día porque los identificadores se filtraron el 20 en foros y redes. La propia fundación admite que el retraso en corregir el primer fallo fue «un fallo estructural» de su equipo de seguridad, por la forma de decidir y por falta de recursos.

¿Qué dice el INCIBE?

El aviso INCIBE-2026-762 pide actualizar a la versión corregida de cada rama y avisa de que se han comunicado ataques contra servidores PHP antes de la publicación de los parches. Las mitigaciones temporales que enumera sirven para ganar tiempo; según el propio aviso, sólo la actualización resuelve el problema. Es un aviso para quien administra servidores, pero dice algo importante al usuario: durante unos días habrá webs vulnerables, y no todas avisarán.

¿Están afectados los exchanges?

Varios han respondido en público, según recoge Bitcoin.com. Coinbase y BitGo dicen no estar expuestos; el responsable de seguridad de Coinbase añade que lo están comprobando también con sus proveedores. Bitget Wallet y PancakeSwap dicen que no usan PHP. Binance afirma que aplicó medidas antes del parche oficial y que ya terminó la corrección. Y su fundador, Changpeng Zhao, pidió extremar la precaución al visitar cualquier web estos días, porque no todos los administradores actualizan a tiempo.

Lo que dice cada empresa de sí misma no se puede comprobar desde fuera. Lo útil es otra cosa: aunque tu exchange esté a salvo, el ataque puede llegarte por la web de un tercero, un comparador, un foro o un correo que imita al exchange.

El 22 de octubre, Cointelegraph recogía que Matthew Prince, consejero delegado de Cloudflare, había visto miles de intentos de explotación en las horas previas al anuncio y millones después.

¿Qué hago si tengo criptomonedas?

• Entra siempre desde un marcador guardado o desde la app oficial, nunca desde un enlace de un correo, un SMS o un anuncio. Si no estás seguro de cuál es la web de tu plataforma, el registro de exchanges autorizados en España lleva la dirección oficial de cada una.
• Desconfía de los avisos de seguridad urgentes que lleguen estos días pidiendo que «verifiques» tu cuenta o tu monedero. Es el gancho más obvio para una campaña de phishing.
• Ninguna web pide tu frase de recuperación. Si una lo pide, es una estafa, por muy oficial que parezca. El catálogo de señales está en nuestra guía de estafas con criptomonedas.
• Usa una app de autenticación, no el SMS, y activa la lista blanca de direcciones de retirada si tu exchange la ofrece. Lo demás, ordenado por impacto, en cómo mantener tus criptomonedas seguras.
• Lo que no uses a diario, fuera de las plataformas. Una web comprometida no puede mover lo que está en un monedero físico. Cuándo compensa uno, en billeteras frías y calientes.

¿Hay algo más que vigilar esta semana?

Sí, y no tiene que ver con PHP. Bitcoin.com recoge también un problema con eMudhra, una autoridad de certificados digitales india: las claves privadas de ocho de sus certificados intermedios resultaron extremadamente débiles, y con una de ellas se podría fabricar un certificado falso para la web de un exchange. Los navegadores ya están bloqueando esos certificados, pero los bots de trading y las aplicaciones que llevan su propia lista de certificados quizá no. Si usas un bot o una app de escritorio para operar, actualízala.

¿Y Jukipto?

Esta web funciona con PHP y ya corre la versión corregida de su rama, la 8.3.36. No guardamos claves ni frases de recuperación de nadie: la cartera de Jukipto lee direcciones públicas, que no sirven para mover fondos.

Fuentes

• PHP flaw draws millions of exploit attempts, Cloudflare CEO warns — Cointelegraph, 22/10/2026
• Coinbase, Bitgo Say Unaffected by PHP Flaw; Binance’s CZ Urges Caution — Bitcoin.com, 22/10/2026
• Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation, 21/10/2026
• Múltiples vulnerabilidades en PHP (INCIBE-2026-762) — INCIBE-CERT, 21/10/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.