PHP corrige dos vulnerabilidades críticas que permitían ejecución remota sin autenticación

El equipo de PHP publicó el 21 de octubre de 2026 actualizaciones de seguridad para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. El aviso oficial describe ambas como fallas que pueden desembocar en ejecución remota de código sin autenticación. Las versiones corregidas anunciadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

La publicación se produjo tras una ventana coordinada de divulgación y fue seguida por alertas de organismos de ciberseguridad. La gravedad no significa que cada aplicación PHP sea explotable de la misma manera: la exposición depende de las versiones, la configuración, los módulos y el modo de despliegue.

El detalle oficial vincula CVE-2026-109618 con corrupción de memoria en la gestión de errores por falta de memoria (out-of-memory). La secuencia puede interrumpir la inicialización de datos internos de la solicitud y abrir una ruta hacia ejecución de código. CVE-2026-109619 afecta también el manejo y limpieza de solicitudes, según los avisos de PHP y las descripciones técnicas publicadas por los equipos de respuesta.

La consecuencia es relevante para servicios web que ejecutan PHP directamente o lo incluyen en aplicaciones, CMS, contenedores y plataformas de alojamiento. El lenguaje por sí solo no determina exposición: administradores deben identificar binarios activos y runtimes incluidos por proveedores, no limitarse al servidor principal.

PHP publicó los cambios en su archivo de seguridad y en los anuncios de las versiones de mantenimiento. ENISA y CERT-EU emitieron avisos que describen la posibilidad de ejecución remota y recomiendan instalar las actualizaciones. CISA también pidió corregir ambas fallas. Esta coincidencia entre el mantenedor y autoridades técnicas respalda el riesgo general y la urgencia del parche.

El proveedor de nube AWS informó de un intento de explotación observado el 17 de octubre en su telemetría, antes de la divulgación pública del 21. Ese dato indica actividad de prueba contra un señuelo; por sí solo no confirma una intrusión exitosa ni una campaña generalizada en sistemas de clientes.

PHP alimenta sitios institucionales, comercios electrónicos, portales de clientes y servicios de gestión de contenidos. Una ejecución de código en el proceso del servidor podría permitir modificar contenido, acceder a secretos disponibles para la aplicación o emplear el servidor como punto de apoyo. La ruta y el impacto dependen de los privilegios del proceso, aislamiento, controles de red y datos accesibles.

Los sistemas expuestos a Internet y aquellos que alojan servicios de terceros deben priorizarse. El parche debe alcanzar también a instancias de prueba, imágenes de contenedor antiguas, entornos de recuperación y servidores gestionados por proveedores, que suelen quedar fuera de los inventarios centrales.

El aviso de PHP ofrece versiones corregidas para ramas 8.2 a 8.5. Las ramas anteriores están fuera de soporte oficial y no necesariamente reciben paquetes oficiales; algunos distribuidores pueden mantener parches propios. La organización debe confirmar la versión realmente ejecutada y contrastar el boletín del sistema operativo, la imagen base o el proveedor de hosting.

No se debe inferir que actualizar el panel de administración o el CMS actualiza también PHP. Tampoco una regla de WAF sustituye una corrección: la aplicación de una regla puede reducir tráfico malicioso, pero deja pendiente la vulnerabilidad del runtime.

Inventariar versiones y modos de ejecución de PHP; actualizar las ramas soportadas a las versiones corregidas indicadas; coordinar el cambio en productos que empaquetan su propio runtime; y aislar o retirar de Internet instalaciones sin soporte hasta establecer una mitigación fiable. Tras actualizar, reiniciar procesos persistentes y validar la versión reportada por el servicio, no solo la del terminal de administración.

Revisar registros web y del runtime desde el 17 de octubre en sistemas que estuvieron expuestos, buscando solicitudes anómalas, procesos hijos inesperados, cambios en archivos y conexiones salientes fuera de patrón. Si aparecen indicios, preservar evidencias y activar el procedimiento de respuesta; el parche corrige la causa, pero no descarta un compromiso previo.