Charles Guillemet, director de tecnología (CTO) de Ledger, utilizó las redes sociales el 21 de octubre de 2026 para advertir de que un conjunto de fallos críticos de software e infraestructura ha creado un entorno de seguridad que calificó de "realmente alarmante", con implicaciones que alcanzan a los sistemas de exchanges y wallets de criptomonedas que dependen de las pilas tecnológicas afectadas.
En el centro de la advertencia están dos vulnerabilidades críticas en el lenguaje de programación PHP, registradas como CVE-2026-109618 y CVE-2026-109619, cada una con una gravedad de 9,2 sobre 10. Según Guillemet, no existe parche para las versiones más antiguas de PHP que siguen en producción. La PHP Foundation publica hoy una solución, pero solo cubre las versiones PHP 8.2 a 8.5, dejando sin protección a una parte sustancial de la infraestructura desplegada.
Esa brecha es relevante en la práctica. El investigador Jonathan Cran recopiló datos que muestran que el 59 % de los servidores expuestos siguen ejecutando versiones obsoletas de PHP, anteriores a la 8.1, y que más de 884.000 servidores en todo el mundo contienen el código vulnerable. La exposición es desigual según la región: en Argentina, el 88 % de los equipos registrados no tiene asignada ninguna vía de parcheo.
Node.js y TLS completan el panorama
La alerta de Guillemet no se limitó a PHP. Señaló cuatro fallos de alta gravedad revelados este mes en Node.js, el entorno de ejecución de JavaScript ampliamente utilizado, que según él permiten la ejecución remota de código arbitrario en los sistemas afectados. Por separado, advirtió del compromiso de ocho certificados intermedios TLS, cuyas claves privadas quedaron expuestas, lo que socava una capa de confianza de la que depende buena parte de la web —incluidos servicios que gestionan transacciones con criptomonedas— para asegurar las conexiones.
En conjunto, los tres problemas afectan a las capas de las que dependen muchas plataformas de exchange, wallets custodiadas y servicios cripto orientados a la web: el lenguaje de scripting que ejecuta la lógica del backend, el entorno que ejecuta el código de la aplicación y la infraestructura de certificados que protege los datos en tránsito. Una debilidad en cualquiera de ellas puede bastar para comprometer un sistema que, por lo demás, parezca bien defendido.
El protocolo de Bitcoin no se ve afectado
Un punto de tranquilidad en el aviso tiene que ver con Bitcoin. La capa de consenso del protocolo no depende de PHP y es inmune a los problemas de ejecución remota descritos. Esa distinción es relevante para los tenedores e instituciones europeas que evalúan dónde reside realmente el riesgo: la exposición está en la infraestructura web circundante —exchanges, interfaces de wallets, servicios custodiados— y no en el código base de Bitcoin.
Para los operadores que gestionan infraestructura cripto sobre versiones antiguas de PHP, instancias de Node.js sin parchear o sistemas que confían en los certificados TLS comprometidos, la conclusión práctica es clara: la cobertura de parches es incompleta, y la solución publicada hoy por la Foundation no llegará a todos los servidores expuestos. La advertencia de Guillemet funciona como un llamado a los operadores del sector, en Europa y fuera de ella, a auditar sus sistemas en lugar de dar por supuesto que el problema ya está contenido.
