ALERTA DE SEGURIDAD: vulnerabilidades críticas en PHP exigen atención inmediata de las instituciones que utilizan AtoM (Access to Memory)

Orientaciones para la comunidad archivística brasileña y latinoamericana sobre seguridad, continuidad del acceso, preservación digital y protección de los documentos archivísticos.

Por Daniel Flores
Profesor e investigador — Programa de Posgrado en Ciencias de la Información (PPGCI), Universidade Federal de Alagoas (UFAL), Brasil.
Grupo de Investigación CNPq PDS & Ged/A — Documentos Digitales: Transformación Digital de la Gestión Documental, Curaduría, Preservación, Acceso y Transparencia Activa en la Cadena de Custodia Digital Archivística.

Fecha de publicación: 23 de octubre de 2026

1. Contexto: una alerta que exige atención de toda la comunidad AtoM

La comunidad internacional de usuarios de AtoM (Access to Memory) se enfrenta a una situación importante de ciberseguridad que requiere atención inmediata por parte de los responsables de la administración, el alojamiento y el mantenimiento de estas plataformas.

El 21 de octubre de 2026, el proyecto PHP publicó una alerta sobre dos vulnerabilidades críticas que pueden permitir la ejecución remota de código por parte de un atacante no autenticado. Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619. Dado que AtoM es una aplicación web desarrollada en PHP, estas vulnerabilidades requieren una evaluación inmediata de los entornos en los que está instalado el sistema.

La gravedad de la situación llevó a Artefactual Systems Inc., empresa responsable del desarrollo y mantenimiento de AtoM, a comunicar a la comunidad, a través de la lista de discusión AtoM Users, que apagaría preventivamente todos los sitios AtoM alojados por la empresa mientras evoluciona la situación.

En un mensaje enviado a la comunidad, Katie Punia, responsable de Seguridad de la Información e Infraestructura de Artefactual, informó que la empresa estaba adoptando esta medida preventiva y señaló que otras organizaciones también estaban optando por desactivar sus sitios.

Es fundamental interpretar correctamente esta comunicación: la decisión de retirar los sitios de Internet no significa, por sí sola, que todos hayan sido vulnerados. Se trata de una medida preventiva ante un riesgo grave, mientras se evalúan las condiciones de seguridad y las acciones necesarias.

El comunicado original puede consultarse en el debate del grupo AtoM Users en Google Groups.

Este artículo tiene como objetivo informar a la comunidad archivística brasileña y latinoamericana, presentar las implicaciones técnicas de la alerta y recomendar medidas para las instituciones que mantienen instalaciones propias de AtoM o utilizan servicios de alojamiento contratados.

2. ¿Cuáles son las vulnerabilidades identificadas?

El comunicado oficial de PHP, publicado el 21 de octubre, describe dos fallos críticos en el intérprete del lenguaje.

CVE-2026-109618: corrupción de memoria asociada a falta de memoria

La vulnerabilidad está relacionada con el tratamiento de situaciones de falta de memoria (out of memory, OOM). En determinadas circunstancias, las estructuras internas de una solicitud pueden quedar parcialmente inicializadas, lo que lleva a PHP a tratarlas incorrectamente durante la liberación de los recursos utilizados.

Este comportamiento puede abrir el camino a la ejecución de código en el servidor.

CVE-2026-109619: uso de estado interno obsoleto

La segunda vulnerabilidad está relacionada con la gestión de estados internos entre solicitudes. Determinados datos pertenecientes a una solicitud pueden seguir referenciados después de que la memoria correspondiente haya sido liberada.

En ciertas condiciones, una solicitud posterior, procesada por el mismo trabajador, puede utilizar indebidamente ese esta