Paraguay: Justicia Electoral suspende sitios por CVE PHP

La Justicia Electoral de Paraguay suspendió de forma preventiva sus sitios después de un aviso del CERT-PY vinculado con dos vulnerabilidades de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. En paralelo, el organismo de respuesta paraguayo también advirtió por el robo de cuentas de WhatsApp mediante el acceso al buzón de voz para obtener el código de verificación, y recomendó activar la verificación en dos pasos, cambiar la clave predeterminada o desactivar ese servicio.

¿Qué ocurrió con los sitios de la Justicia Electoral?

La suspensión preventiva respondió al aviso del CERT-PY sobre dos fallas en PHP que afectan a sistemas expuestos. La información disponible atribuye el caso a La Tribuna, que señaló que las vulnerabilidades fueron divulgadas el 20 de octubre de 2026 y que el equipo de PHP publicó parches de emergencia el 21 de octubre.

La misma cobertura las describió como fallas de ejecución remota de código, aunque en ese resultado no hubo una confirmación independiente de explotación activa. Más tarde, CISA incorporó ambos CVE a su catálogo Known Exploited Vulnerabilities, lo que sí aporta confirmación oficial de que estaban siendo explotados activamente, aunque sin vincular esa explotación con sistemas paraguayos.

¿Qué dicen los reportes técnicos sobre las fallas?

Unit 42 de Palo Alto Networks describió CVE-2026-109618 y CVE-2026-109619 como vulnerabilidades críticas de ejecución remota de código sin autenticación, con puntuación CVSS 9.2. Según ese análisis, CVE-2026-109618 se relaciona con memoria no inicializada tras errores de falta de memoria, mientras que CVE-2026-109619 implica referencias de estado global a memoria liberada.

AWS añadió que un atacante remoto no autenticado puede enviar solicitudes web diseñadas para ejecutar código arbitrario, leer datos accesibles al proceso o provocar una denegación de servicio en trabajadores PHP afectados. Z-CERT, por su parte, recomendó instalar con urgencia las actualizaciones de PHP y, si eso no era posible de inmediato, evaluar retirar temporalmente de Internet los sistemas afectados.

¿Qué recomendó el CERT-PY ante el robo de cuentas de WhatsApp?

El CERT-PY advirtió que en Paraguay se estaban robando cuentas de WhatsApp mediante el acceso al buzón de voz para obtener el código de verificación de seis dígitos. La recomendación oficial fue activar la verificación en dos pasos, cambiar la clave predeterminada del buzón de voz o desactivar el buzón.

El aviso se centró en ese mecanismo de recuperación de códigos, que permite a un tercero apropiarse de la cuenta si logra escuchar o interceptar el mensaje de voz. La advertencia se difundió el 27 de octubre de 2026, en una etapa en la que ya circulaban alertas separadas por las vulnerabilidades de PHP y por la presión operativa sobre los entornos expuestos.