El 26 de octubre de 2026, CISA incorporó CVE-2026-109618 y CVE-2026-109619 a su catálogo de vulnerabilidades explotadas conocidas (KEV). La inclusión reconoce que se conoce la explotación de ambos fallos; PHP había publicado correcciones cinco días antes. CISA
Dos vulnerabilidades con mecanismos distintos
Los dos fallos pueden permitir la ejecución remota de código en servidores que ejecutan PHP, pero su mecanismo es diferente. El código PHP afectado se ejecuta en el servidor, no en el dispositivo de quien visita la web.
CVE-2026-109618 está relacionado con una corrupción de memoria durante una condición de falta de memoria. Según The PHP Foundation, bajo una condición precisa de límite de memoria pueden quedar datos internos parcialmente inicializados que después se tratan como válidos. En Apache con mod_php, una petición no autenticada puede activar el fallo antes de que se ejecute el código de la aplicación. La fundación indicó que se demostró la ejecución remota de código con la configuración predeterminada y que también se confirmó por rutas de aplicación con PHP-FPM.
CVE-2026-109619 afecta al estado interno de una petición: tras un error fatal, puede quedar una referencia a memoria ya liberada. Una petición posterior atendida por el mismo proceso puede utilizar esa memoria. The PHP Foundation confirmó un uso de memoria después de liberarla y el bloqueo de un proceso; también recogió la demostración de ejecución remota de código en una aplicación real con Apache y mod_php. The PHP Foundation detalla ambos fallos y sus condiciones.
Versiones corregidas y comprobaciones para administradores
El proyecto PHP publicó el 21 de octubre de 2026 estas versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La cobertura anterior de NeoTeo sobre las correcciones y medidas de PHP ofrece contexto sobre ese anuncio.
Para PHP 8.1 y versiones anteriores, el aviso de BA-CSIRT señala que esas ramas estaban fuera del soporte oficial del proyecto PHP. Recomienda pasar a una rama con soporte o aplicar la actualización de seguridad que proporcione el proveedor o la distribución. El aviso también aconseja comprobar la versión instalada, actualizar todos los entornos PHP y consultar al proveedor de alojamiento o al equipo técnico si otra organización administra el servidor. Las medidas temporales no sustituyen la actualización. BA-CSIRT publicó estas recomendaciones el 22 de octubre.
Qué se informó sobre organismos y sitios argentinos
Ariel Cessario, excoordinador del CERT argentino, dijo a Clarín que Argentina.gob.ar y los ministerios de Salud y Economía habían aplicado las medidas recomendadas para el 22 de octubre.
Un relevamiento de sitios gob.ar citado por Clarín registró señales de uso de PHP en 4.758 de los 13.977 sitios analizados, dentro de un inventario de 35.847. El corte del relevamiento fue el 29 de octubre de 2026 a las 13:53. La cifra describe señales de uso de PHP en los sitios examinados.
