Las vulnerabilidades de PHP en Freebox no demuestran que cerca de dos millones de dispositivos estén expuestos. La cifra de 1,97 millones corresponde a hosts IP franceses clasificados como usuarios de PHP, no a hogares ni a dispositivos pirateables. A fecha del 21 de octubre de 2026, se habían confirmado dos vulnerabilidades de PHP con una puntuación de 9,2 sobre 10, pero los componentes afectados y las condiciones de explotación aún estaban pendientes de publicación.
¿Están realmente afectadas las Freebox por las vulnerabilidades de PHP?
A fecha del 21 de octubre de 2026, nada permitía afirmar que las dos vulnerabilidades críticas de PHP afectaran a Freebox OS. El anuncio oficial del proyecto PHP no especificaba ni los componentes vulnerables, ni las versiones afectadas, ni los requisitos de explotación. La relación con las Freebox se basaba principalmente en resultados de detección automatizada.
PHP es un lenguaje que se ejecuta en el servidor: produce, entre otras cosas, páginas web a partir de un programa procesado en la máquina que aloja el servicio. Sin embargo, una dirección que termina en «.php» no demuestra que detrás de la interfaz funcione un intérprete de PHP, es decir, el software que ejecuta este lenguaje.
El 21 de octubre de 2026, Frandroid indicó, según sus propias inforormaciones, que Freebox OS no ejecutaba ningún servidor PHP. Los archivos de plantilla porendrían una extensión «.php», pero serían procesados por un software desarrollado por Free. Esta explicación hace plausible un falso positivo, aunque no constituye una confirmación primaria del operador, ya que no se había localizado ninguna declaración pública de Free en ese sentido entre las fuentes examinadas.
La trampa es clásica: un escáner reconoce un indicio técnico y, después, ese indicio se convierte abusivamente en una prueba de vulnerabilidad. El mismo problema existe con muchos dispositivos conectados expuestos a Internet : visibilidad, identification du logiciel et possibilité d’attaque sont trois constats distincts.
¿Qué significa realmente la cifra de 1,97 millones de hosts?
La cifra de 1,97 millones designa hosts IP observados en Francia y clasificados como usuarios de PHP, según datos de Infrawatch difundidos el 21 de octubre de 2026. Este total no corcorresponde ni a 1,97 millones de Freebox confirmadas, ni a 1,97 millones de hogares distintos, ni a otros tantos sistemas explotables.
Durante un periodo de 48 horas, las cifras difundidas indicaban aproximadamente entre 4,3 y 4,38 millones de hosts observados en todo el mundo, de los cuales 1,97 millones estaban en Francia. También mencionaban 11 millones de observaciones de servicios o porertos, de los cuales 6,62 millones estaban en Francia. Un mismo host puede exponer varios servicios; por tanto, sumar estas observaciones como si fueran dispositivos únicos distorsiona el análisis.
| Señal observada | Lo que demuestra | Lo que no demuestra |
|---|---|---|
| URL o archivo con «.php» | Una convención de nomenclatura visible | La presencia de un intérprete de PHP activo |
| 1,97 millones de hosts IP franceses | Hosts clasificados como usuarios de PHP | Dos millones de Freebox u hogares vulnerables |
| 6,62 millones de servicios o porertos en Francia | Observaciones de servicios de red | 6,62 millones de dispositivos distintos |
| Dos puntuaciones CVSS v4.0 de 9,2 | Una posible gravedad crítica | Una posible explotación en toda interfaz detectada |
Frandroid estimaba también, en un análisis publicado el 21 de octubre de 2026, que retirar los falsos positivos atribuidos a Free e Iliad reduciría el total francés a unos 250 000 servicios, frente a 786 283 en Estados Unidos. Este cálculo sigue siendo una inforormación procedente de una única fuente. No debe tratarse como un recuento oficial ni definitivo.
Una medición de la exposición responde a la pregunta «¿qué parece accesible?». Después, un análisis de vulnerabilidades comprueba el software que se ejecuta realmente, su versión, su configuración y las condiciones necesarias para el ataque. Confundir ambas cosas puede desencadenar una intervención de emergencia costosa cuando habría bastado con una verificación técnica breve.
¿Qué se sabía sobre las dos vulnerabilidades críticas de PHP?
El PHP Security Team anunció el 20 de octubre de 2026 dos vulnerabilidades críticas, cada una con una puntuación de 9,2 sobre 10 según el estándar CVSS v4.0. Los cororrectivos estaban programados para el 21 de octubre a las 14:00 UTC, es decir, a las 16:00 en Francia continental, pero los detalles técnicos se habían reservado deliberadamente para los avisos definitivos.
El anuncio previo no nombraba los componentes afectados, las ramas vulnerables, las versiones corafectadas ni las condiciones de explotación. Su objetivo era permitir a los administradores preparar una actualización rápida. Algunas publicaciones mencionaron los identificadores CVE-2026-109618 y CVE-2026-109619, así como una ejecución remota de código sin autenticación, pero estos elementos no aparecían en el anuncio inicial del proyecto PHP.
Patchstack indicaba el 21 de octubre de 2026 que socios de alojamiento habían informado de una explotación activa a partir de las 7:34 UTC. Sin embargo, las fuentes examinadas no proporcionaban una confirmación técnica independiente ni el alcance exacto de las versiones afectadas. Para decidir una acción empresarial, una señal comunicada por un actor de seguridad merece atención, pero no sustituye al aviso oficial ni al del proveedor de alojamiento.
Las ramas oficialmente compatibles el 21 de octubre de 2026 eran PHP 8.2, 8.3, 8.4 y 8.5. Según la documentación de PHP, la rama 8.2 debía recibir cororrectivos de seguridad hasta el 31 de diciembre de 2026; las ramas más antiguas habían llegado al final de su vida útil. Las últimas versiones de seguridad publicadas antes de la alerta de octubre eran PHP 8.2.34, 8.3.35, 8.4.26 y 8.5.11, fechadas el 24 de septiembre de 2026.
¿Qué debe hacer por precaución un abonado de Freebox?
Un abonado de Freebox debe comprobar si necesita la administración remota, desactivarla corsi no la utiliza, emplear una contraseña de administrador robusta y mantener actualizado el firmware del dispositivo. Estas medidas reducen la exposición general en 2026, pero no demuestran que las vulnerabilidades de PHP anunciadas afecten a Freebox OS.
La documentation de Free confirme que l’administration distante de Freebox OS peut être activée dans « Gestion des accès ». L’interface utilise une authentification par mot de passe et peut être rendue accessible au moyen d’une adresse IP ou d’un nombre de dominio associé à un port configuré.
Las comprobaciones útiles son limitadas y concretas:
- desactive el acceso remoto si nunca administra la Freebox for fuera de su domicilio o de sus instalaciones;
- sustituya una contraseña corta, reutilizada o compartida por una contraseña de administrador única;
- instale las actualizaciones de firmware que ofrezca Free;
- compruebe la configuración de acceso en lugar de fiarse de la presencia de una dirección que contenga «.php»;
- espere a un aviso oficial de Free antes de atribuir un incidente a las vulnerabilidades de PHP de octubre de 2026.
Restablecer el dispositivo o modificar toda la configuración de red sin indicios de compromiso no es la respuesta proporcionada. Sinceramente, es preferible eliminar una exposición remota innecesaria que multiplicar las operaciones susceptibles de interrumpir la conexión de la empresa. Para profundizar, algunas herramientas gratuitas de ciberseguridad también permiten estructurar las comprobaciones básicas sin sustituir una auditoría.
¿Cómo comprobar un sitio o una aplicación que utiliza PHP?
Un administrateur d’un service PHP doit inventorier les versions exécutées sur les servidores web, les pools PHP-FPM, les conteneurs et les tâches en ligne de commande. Il doit ensuite repérer les services accessibles depuis Internet, appliquer la version corrigée officielle ou fournie par l’hébergeur, redémarrer les processus concernés et contrôler la version réellement active.
PHP-FPM es un gestor de procesos que ejecuta PHP para un servidor web como Nginx. El contenedor, por ejemplo con Docker, aísla una aplicación junto con sus dependencias. Estas dos capas generan un riesgo frecuente: actualizar el paquete del servidor no basta si una imagen antigua del contenedor o un proceso no reiniciado sigue funcionando.
En los proyectos que dirigimos, a menudo vemos coexistir varias versiones de PHP: una para el sitio público, otra para una tarea programada y, en ocasiones, una tercera en un contenedor antiguo. Por tanto, el inventario debe porcentrarse en los procesos activos, no solo en la versión que aparece en el panel de alojamiento.
El cororrectivo puede proceder directamente del proyecto PHP o estar integrado por un proveedor como OVHcloud, una distribución Linux o una platfororma gestionada. Lo correcto es seguir el canal del proveedor que mantiene realmente el paquete. Una versión cuyo número parece antiguo puede, en algunos casos, incluir un cororrectivo retroportado; solo el aviso del proveedor permite confirmarlo.
Tras la actualización, compruebe la versión cargada por el servidor web y reinicie los grupos PHP-FPM, los contenedores y las tareas persistentes afectados. A continuación, pruebe los recorridos esenciales de la aplicación. Una protección periférica como Cloudflare puede filtrar determinadas solicitudes, pero no sustituye a la cororrección del componente vulnerable, al igual que una protección contra los ataques DDoS no cororrige una vulnerabilidad de la aplicación.
¿Cómo decidir sin ceder ante una alerta prematura?
La decisión adecuada consiste en separar cuatro niveles: servicio visible, tecnología confirmada, versión vulnerable y explotación técnicamente posible. En el caso de las vulnerabilidades de PHP de octubre de 2026, la urgencia concernía a los administradores de servicios PHP confirmados. Los abonados de Freebox debían reducir los accesos innecesarios, sin considerar comprometido su equipo basándose únicamente en un análisis.
Por parte de la agencia, lo recomendable es conservar un registro de la versión antes y después de la cororrección, del origen del paquete y de las pruebas realizadas. Esta disciplina facilita la toma de decisiones con el proveedor de alojamiento, evita declarar el incidente cerrado demasiado pronto y proporciona elementos útiles si posteriormente aparece alguna anomalía.
Sigue siendo necesaria una actualización editorial y técnica tras la publicación de los avisos definitivos del PHP Security Team. Esta debe dejar constancia de los identificadores CVE confirmados, las versiones afectadas y cororrigées, los requisitos previos para la explotación, así como de los posibles avisos de los proveedores. Sin esta información, atribuir un riesgo preciso a una Freebox o a un sitio concreto sería especulativo.
Delimitar la exposición, el inventario de software y el procedimiento de cororrección antes de una alerta evita la mayoría de las decisiones precipitadas. Una perspectiva externa puede ayudar sobre todo a distinguir una señal mediática de un riesgo demostrado y, a continuación, a concentrar el presupuesto y el tiempo de inactividad en los servicios realmente afectados.
Preguntas frecuentes sobre las vulnerabilidades de PHP y las Freebox
¿Una dirección que termina en .php demuestra que el servidor utiliza PHP?
Una dirección que termina en « .php » no demuestra que haya un intérprete de PHP funcionando en el servidor. El nombre puede conservarse por motivos de compatibilidad o ser procesado por otro software.
¿Significa el CVSS 9,2 que un ataque ya ha tenido éxito?
Una puntuación CVSS v4.0 de 9,2 indica una gravedad potencial crítica, no una intrusión constatada. La presencia del componente afectado, su versión, su configuración y las condiciones de explotación también deben verificarse.
¿Es necesario desactivar la administración remota de Freebox OS?
La administración remota de Freebox OS debería estar desactivada cuando no se utilice. Cuando sea necesaria, una contraseña única y robusta, así como un firmware actualizado, reducen la exposición general.
¿Cómo saber qué versión de PHP funciona realmente en un sitio web?
La versión real de PHP debe comprobarse en el proceso que sirve el sitio web, en el grupo de PHP-FPM o en el contenedor activo. La versión mostrada por un panel de alojamiento o por una línea de comandos puede diferir de la que ejecuta la aplicación.