Mostrar resumen Ocultar resumen
Dos fallos críticos en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619) han obligado a muchos administradores a desconectar sitios y servicios web mientras se despliegan parches, según avisos oficiales y análisis técnicos sobre seguridad informática.
La propia página del proyecto PHP confirmó que publicó correcciones el 21 de octubre de 2026 en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para remediar dos vulnerabilidades que permiten ejecución remota de código sin autenticación.
Te puede interesar
- MS‑DOS sigue presentes en Windows 11: el sistema crea nombres cortos 8.3 para algunos
- iOS 27.2: Apple publicó la beta pública y así puedes probarla
El boletín de CERT-EU describe técnicamente ambos fallos: CVE-2026-109618 permite RCE por corrupción de memoria durante el manejo de condiciones de «out-of-memory», y CVE-2026-109619 permite RCE por estado global obsoleto que puede reutilizar memoria liberada, ambos con puntuación CVSS 9.2.
Organizaciones de ciberseguridad y proveedores en la nube han advertido que ya circulan pruebas de concepto y que la explotación es plausible, por lo que recomiendan aplicar las actualizaciones de inmediato o aislar las aplicaciones expuestas hasta verificar la corrección.
Los equipos de respuesta de proveedores como Google Cloud y Palo Alto Networks han publicado guías de mitigación y detección, incluyendo reglas WAF, imágenes base parcheadas y controles para limitar cargas de petición y tamaño de ficheros mientras se aplica el parche.
Qué pasó y cómo protegerse
Según PHP y CERT-EU, la explotación puede ocurrir antes de que intervenga código de la aplicación, por lo que todas las instalaciones que sirven peticiones web están potencialmente en riesgo: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed están listados como afectados.
Las recomendaciones oficiales incluyen actualizar a las versiones parcheadas indicadas, o —si no es posible— aplicar mitigaciones temporales como ajustar memory_limit, limitar post_max_size y desactivar rutas confirmadas de explotación (por ejemplo session.upload_progress.enabled), además de reiniciar trabajadores tras los cambios.
Escala y consecuencias reales
Los informes de telemetría citados por analistas indican un número muy elevado de instancias expuestas, y al menos una administración pública europea puso offline sitios como precaución, según Unit 42 de Palo Alto Networks.
Proveedoras de nube han activado mitigaciones automáticas en entornos serverless y han publicado guías de despliegue y monitorización para clientes, subrayando que las reglas WAF son controles compensatorios, pero que la actualización sigue siendo la solución completa.
En el contexto de la seguridad informática corporativa, la urgencia del parche y la posibilidad de PoC públicas han llevado a operadores a desconectar servicios temporariamente para evitar compromisos hasta aplicar y verificar parches.
Si su organización gestiona aplicaciones PHP, compruebe versiones en servidores, reconstruya imágenes de contenedor con PHP parcheado y aplique reglas WAF mientras completa una remediación completa y comprobaciones de integridad.
Sources
- CERT-EU — aviso técnico que describe CVE-2026-109618 y CVE-2026-109619, puntuaciones CVSS y recomendaciones de mitigación.
- PHP — anuncio oficial de la publicación de PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 que corrigen las dos vulnerabilidades.
- Google Cloud — guía de respuesta, mitigaciones prácticas para entornos en la nube y recomendaciones de despliegue.
- Unit 42 / Palo Alto Networks — análisis de amenazas, telemetría sobre instancias expuestas y nota sobre administraciones que han desconectado sitios por precaución.
Lectura relacionada: Windows Update dejará de funcionar en PCs que no se actualicen antes de 2027 y Xiaomi lanza una actualización de seguridad que corrige 180 fallos — artículos sobre parches y su gestión en entornos reales.
