[Actualización 21/10/2026] Múltiples vulnerabilidades en PHP

Fecha de publicación 21/10/2026

Identificador

INCIBE-2026-762

Importancia

5 - Crítica

Recursos Afectados

Las versiones afectadas de las ramas mantenidas son PHP 8.2.x anterior a 8.2.35, PHP 8.3.x anterior a 8.3.36, PHP 8.4.x anterior a 8.4.27 y PHP 8.5.x anterior a 8.5.12.

PHP considera en riesgo las instalaciones que procesan solicitudes web, incluidas las que utilizan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor en Apache mod_php.

PHP 8.1 y las ramas anteriores ya no reciben actualizaciones regulares del proyecto. PHP ha publicado parches de código fuente para las ramas 7.4, 8.0 y 8.1; otros sistemas pueden disponer de retroportaciones de sus distribuidores o proveedores de soporte.

Descripción

PHP ha publicado dos vulnerabilidades críticas en su núcleo que pueden permitir a un atacante remoto no autenticado ejecutar código con los privilegios del proceso web. Ambas tienen una puntuación CVSS v4.0 de 9,2.

Se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones. La actividad reportada se refiere al conjunto de vulnerabilidades y no identifica por separado cuál de los dos CVE se utilizó en cada caso.

Solución

Aplicar las versiones corregidas cuando estén disponibles. El equipo de seguridad prevé publicar parches el 21 de octubre de 2026, incluidos parches retrocompatibles para las ramas PHP 7.4, 8.0 y 8.1. Se añadirán las versiones corregidas exactas cuando se publiquen.

[Actualización 21/10/2026]

Ya se encuentra disponible la actualización que soluciona las vulnerabilidades mencionadas en este aviso.

Se recomienda actualizar PHP de inmediato a la versión corregida correspondiente a su rama: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Para Linux/Debian, consulte la página de descargas de PHP. Si utiliza paquetes de una distribución o un proveedor de soporte LTS, compruebe que incluyen las correcciones.

Para PHP 8.1, 8.0 y 7.4, PHP ofrece parches de código fuente retroportados: PHP 8.1, PHP 8.0 y PHP 7.4. Si su proveedor no ofrece una versión corregida, contacte con él o migre a una rama mantenida. PHP advierte de que el repositorio voluntario rpms.remirepo.net no dispondrá de actualizaciones hoy; recomienda utilizar los paquetes de la distribución o compilar PHP desde el código fuente.

Medidas temporales si no es posible actualizar inmediatamente

Para CVE-2026-109618, PHP señala memory_limit=-1, aplicado de forma administrativa, como mitigación de configuración principal. Reinicie los procesos y compruebe que ninguna configuración de aplicación, directorio o pool vuelve a establecer un límite finito. memory_limit=128M no desactiva la vulnerabilidad. El valor -1 no es una solución completa y puede aumentar el consumo de memoria del servidor.
Mantenga post_max_size en un valor bajo: PHP recomienda 8 MB si no se permiten cargas de archivos y 32 MB si son necesarias. Mantenga upload_max_filesize por debajo de post_max_size y aplique límites en el servidor web o proxy al tamaño de la solicitud ya decodificada, campos, partes multipart, cabeceras y profundidad de anidamiento. Estos controles deben contemplar solicitudes sin una cabecera Content-Length válida. Si la aplicación no necesita formularios multipart, bloquéelos antes de que lleguen a PHP.
No utilice RLIMIT_AS ni RLIMIT_DATA: pueden provocar fallos de asignación que activen la ruta vulnerable. Los límites de memoria de contenedor o cgroup pueden servir como barrera de disponibilidad, pero tampoco constituyen una mitigación completa.
Para CVE-2026-109619, desactive administrativamente session.upload_progress.enabled y reinicie todos los procesos. En PHP 8.5, desactive también fatal_error_backtraces. Estas medidas reducen rutas de explotación demostradas, pero no cubren todas las variantes.
Revise y elimine directivas por solicitud inválidas u obsoletas que generen avisos antes de inicializar la solicitud. Ocultar avisos con error_reporting, display_errors o @ no mitiga CVE-2026-109619. Corrija también errores fatales y tiempos de ejecución agotados en rutas accesibles desde solicitudes no confiables.

Las medidas temporales reducen la exposición a rutas concretas, pero la actualización es la única solución completa. Si no puede actualizar un sistema expuesto a Internet, aíslelo de las redes públicas hasta aplicar una versión corregida.

Detalle

CVE-2026-109618 — Ejecución remota de código por corrupción durante un agotamiento de memoria (OOM)

En determinadas rutas de procesamiento, una asignación de memoria puede fallar cuando los datos de una solicitud todavía no están inicializados por completo. PHP interrumpe el procesamiento, pero durante el cierre de la solicitud puede utilizar ese estado inválido y provocar corrupción de memoria que permita ejecutar código remotamente.

Un vector destacado son las solicitudes multipart por POST. Un número elevado de cabeceras en las partes, controles de archivo vacíos o nombres de campos anidados pueden elevar el uso de memoria aunque la solicitud parezca respetar los límites configurados. PHP ha validado la ejecución remota de código sin autenticación contra Apache mod_php, antes de que se ejecute código de la aplicación. El análisis del código también considera susceptible a PHP-FPM, aunque no se ha demostrado un exploit completo para esa ruta específica.

CVE-2026-109619 — Ejecución remota de código por uso de estado global obsoleto

Parte del estado interno asociado a una solicitud puede permanecer en un proceso trabajador después de liberarse la memoria de esa solicitud. Si una solicitud posterior llega al mismo trabajador y utiliza ese estado antes de que PHP lo reinicialice, puede producirse un uso después de liberar memoria, una posible divulgación de memoria y ejecución remota de código.

El equipo de PHP describe rutas confirmadas en Apache mod_php y PHP-FPM. La explotación puede depender de un error fatal o de una operación de sesión y de que el mismo trabajador procese solicitudes sucesivas. En PHP 8.5 también se ha demostrado una ruta relacionada con las trazas de errores fatales.

CVE