PHP publica parches para dos fallas críticas que permiten ejecutar código sin autenticación

El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para CVE-2026-109618 y CVE-2026-109619. Ambas vulnerabilidades tienen una puntuación CVSS de 9.2 y pueden permitir ejecución remota de código sin autenticación en instalaciones que atienden solicitudes web. PHP publicó versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CERT-EU confirmó los detalles y recomendó aplicar los parches cuanto antes. El problema reside en el manejo de memoria y del estado interno del runtime, por lo que los equipos deben revisar sus despliegues de PHP además del código de cada aplicación.

CVE-2026-109618 está asociada con corrupción de memoria durante el tratamiento de errores de falta de memoria. Si una solicitud supera el límite configurado, PHP puede interrumpir su procesamiento cuando ciertas estructuras internas todavía no se han inicializado por completo. Durante la limpieza posterior, el intérprete podría tratar datos inválidos como estructuras válidas y liberar memoria en un estado inconsistente. CERT-EU explica que esa memoria puede contener residuos de asignaciones previas controladas por una solicitud remota.

CVE-2026-109619 se relaciona con estado global obsoleto entre solicitudes. Parte del estado interno de una petición puede continuar referenciado después de que la memoria que lo respaldaba haya sido liberada. Si un proceso reutilizado atiende otra solicitud antes de reinicializar ese estado, puede acceder a información que ya no es válida. Los avisos describen dos rutas distintas hacia ejecución de código a partir de errores en el ciclo de vida de memoria y solicitudes.

PHP y CERT-EU consideran potencialmente expuestas las instalaciones que sirven solicitudes mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP identifica mod_php como la configuración de mayor riesgo y describe una demostración donde una solicitud no autenticada puede activar la condición antes de que se ejecute el código de la aplicación. Por eso, la revisión no debe limitarse a buscar una función vulnerable en los repositorios: hay que inventariar versiones, modos de ejecución, contenedores y servicios de hosting.

La puntuación CVSS refleja severidad técnica, pero la exposición concreta depende también de la versión instalada, configuración y accesibilidad del servicio. Las fuentes no dicen que todos los sitios PHP hayan sido comprometidos ni que cada arquitectura tenga idéntico riesgo.

La acción prioritaria es identificar la rama instalada y actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según corresponda, usando paquetes aprobados por el proveedor de la distribución o del entorno administrado. Después, hay que confirmar la versión efectiva en todos los nodos, contenedores, workers, entornos de pruebas y servidores que puedan quedar fuera del inventario central. En plataformas con varias instancias, la corrección también debe llegar a réplicas e imágenes utilizadas por escaladores automáticos para evitar que se vuelvan a desplegar versiones anteriores.

CERT-EU recomienda aislar de redes públicas las aplicaciones expuestas que no puedan actualizarse de inmediato, hasta aplicar y verificar la corrección. Esa mitigación temporal reduce la exposición, pero no sustituye el parche del intérprete. Los equipos también pueden conservar registros y revisar solicitudes anómalas durante el periodo vulnerable.

Los avisos oficiales confirman las dos vulnerabilidades, la puntuación CVSS, los mecanismos descritos y las versiones corregidas. El 21 de octubre CERT-EU señaló que empezaban a circular pruebas de concepto y que eso aumentaba la probabilidad de explotación. Esa observación no confirma por sí sola intrusiones en una organización concreta. Las fuentes consultadas tampoco permiten afirmar que todos los servicios vulnerables hayan sido atacados. Conviene distinguir la disponibilidad pública de pruebas de concepto de una confirmación de explotación contra activos propios.

Inventaría las versiones de PHP y sus SAPIs en servicios web, contenedores y plataformas tercerizadas. Aplica la versión corregida correspondiente y comprueba que los procesos ejecuten el runtime actualizado. Si no puedes actualizar de inmediato, restringe temporalmente el acceso público según la guía de PHP y CERT-EU. Revisa registros y telemetría desde antes de la divulgación, pero no interpretes la falta de alertas como prueba concluyente de ausencia de actividad. Confirma con proveedores de hosting y plataformas cómo se propagan los parches. La prioridad es reducir la ventana de exposición de dos fallas críticas para las que ya existen actualizaciones.