Mostrar resumen Ocultar resumen
PHP ha publicado parches de emergencia que corrigen dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, y pide actualizar a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la nota técnica revisada el 21 de octubre.
Las fallas, apodadas «PHP2Shell», permiten ejecución remota de código sin autenticación y reciben una gravedad crítica (CVSS v4.0 9.2), por lo que PHP y proveedores recomiendan aplicar la actualización cuanto antes.
Te puede interesar
- MS‑DOS sigue presentes en Windows 11: el sistema crea nombres cortos 8.3 para algunos
- iOS 27.2: Apple publicó la beta pública y así puedes probarla
El equipo de PHP publicó los avisos de seguridad para CVE-2026-109618 y CVE-2026-109619 en su repositorio y las versiones corregidas aparecen listadas como 8.2.35, 8.3.36, 8.4.27 y 8.5.12, según el aviso oficial y el advisory en GitHub.
La primera vulnerabilidad (CVE-2026-109618) aprovecha una condición de fallo por falta de memoria durante el arranque de la petición; la segunda (CVE-2026-109619) explota estado residual en workers que puede producir uso de memoria ya liberada, según análisis técnicos publicados por investigadores y la propia PHP.
Qué deben hacer los administradores ahora
Actualizar el runtime PHP es la única mitigación completa: instalar las versiones corregidas y reiniciar todos los workers y contenedores que sirvan peticiones web, no solo el binario de línea de comandos, aconseja la guía técnica.
Como medidas temporales, los expertos recomiendan desactivar session.upload_progress y, en PHP 8.5, fatal_error_backtraces=0, pero insisten en que estos ajustes no sustituyen al parche porque no cubren todos los vectores de la php vulnerabilidad.
Los avisos técnicos también señalan que deployments con mod_php presentan mayor riesgo y que entornos expuestos a Internet deben priorizarse. Además, se pide verificar imágenes de contenedor, nodos en balanceadores y plantillas de autoscaling para evitar regresiones de versión.
Explotación y seguimiento
Investigadores y proveedores de servicios de seguridad han informado intentos de explotación en la calle y publicación de pruebas de concepto; por ello las organizaciones deben auditar logs y buscar indicios de compromiso en procesos web y archivos recientemente modificados.
La detección se centra en procesos PHP que lanzan shells o realizan conexiones salientes inusuales, creación de archivos web nuevos y fallos repetidos en arranque de peticiones que preceden a la ejecución de código.
Si no puede aplicar el parche de inmediato, reduzca la exposición al limitar acceso en el proxy o retirar temporalmente servicios públicos hasta que se confirme la actualización, según las recomendaciones técnicas.
Sources
- Halo Security — detalle técnico, versiones parcheadas y mitigaciones recomendadas.
- Exploitr — resumen de explotación en la calle, vectores afectados y pasos de mitigación.
- PHP / GitHub Advisory — aviso oficial de CVE-2026-109618 con descripción técnica y lista de versiones parcheadas.
- Microsoft Insider — cobertura previa sobre la necesidad de desconectar sitios y prepararse para parches.
