Dos vulnerabilidades críticas de PHP afectan a servidores web

Los primeros indicios del problema de memoria se identificaron durante una auditoría de PHP en 2024, pero las vías concretas de ejecución remota de código no se confirmaron hasta agosto de 2026, cuando varios equipos las comunicaron al proyecto. El primer intento de explotación registrado por telemetría se remonta al 17 de octubre, cuatro días antes de la divulgación pública y de las correcciones. El 20 de octubre, la difusión anticipada de los identificadores llevó al proyecto a adelantar un día la publicación.

Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, con una valoración CVSS de 9,2, afectan al tratamiento de la memoria y del estado interno entre solicitudes, y pueden permitir que un atacante no autenticado ejecute código con los privilegios del servidor web. El riesgo alcanza a las instalaciones de PHP que procesan solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, facilitó correcciones de código para algunas ramas antiguas y señaló que las mitigaciones temporales no sustituyen la actualización.

El último estado oficial indica que ambas vulnerabilidades fueron incorporadas al catálogo de vulnerabilidades explotadas conocidas de CISA el 26 de octubre. Las versiones corregidas continúan siendo la medida principal, mientras que los sistemas que no puedan actualizarse deben aislarse de redes públicas hasta aplicar y verificar la solución.