PHP corrige dos fallas críticas que permiten ejecución remota sin autenticación
PHP corrige dos fallas críticas que permiten ejecución remota sin autenticación
PHP publicó versiones de emergencia para CVE-2026-109618 y CVE-2026-109619, dos fallas de memoria con potencial de ejecución remota antes de que el código de la aplicación intervenga.
Dos rutas hacia ejecución remota
El equipo de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir CVE-2026-109618 y CVE-2026-109619. La primera involucra corrupción durante el manejo de falta de memoria; la segunda, estado global que puede sobrevivir después de liberar su memoria.
El riesgo alcanza instalaciones que atienden solicitudes web mediante PHP-FPM, mod_php, php-cgi, FrankenPHP o LiteSpeed. PHP considera especialmente expuesto mod_php, donde se demostró una ruta previa a la ejecución del código de la aplicación.
Actualizar es la única solución completa
Las mitigaciones de configuración publicadas reducen rutas concretas, pero no eliminan el defecto. Los operadores deben instalar una versión corregida o un backport confirmado por su distribución y reiniciar los procesos que mantienen estado.
Conviene inventariar versiones, priorizar servidores expuestos a internet, revisar registros por solicitudes anómalas y validar que balanceadores, imágenes de contenedor y plantillas de despliegue ya incorporen el parche.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1
- 2The Verge — alcance operativo de los parches PHP ↗prensa especializada
- 3
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista