PHP corrige dos vulnerabilidades críticas: versiones y medidas

El 21 de octubre de 2026, PHP publicó correcciones para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. Ambas pueden permitir la ejecución remota de código sin autenticación en instalaciones que atienden solicitudes web. PHP señala que todas esas instalaciones están en riesgo y que Apache con mod_php es la configuración de mayor riesgo entre las que identifica. El aviso de PHP incluye las versiones corregidas y medidas temporales para cada fallo.

Qué vulnerabilidades corrige PHP

La ejecución remota de código permite que un atacante ejecute código en un servidor a través de una petición. PHP describe dos fallos distintos: CVE-2026-109618 puede interrumpir el procesamiento por falta de memoria cuando los datos de una petición aún se están inicializando; durante la limpieza, PHP podría tratar datos no válidos como si lo fueran. En CVE-2026-109619, parte del estado interno de una petición puede persistir después de liberarse la memoria que lo almacenaba y ser utilizado por otra petición atendida por el mismo proceso de trabajo.

PHP menciona PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed entre las configuraciones que atienden solicitudes web. La advertencia alcanza también a PHP integrado en dispositivos y servicios de terceros: el Centro Nacional de Ciberseguridad del Reino Unido recomienda incluirlos en el inventario de sistemas que hay que revisar.

Versiones de PHP con corrección

Estas son las cuatro versiones upstream, es decir, publicadas por el propio proyecto PHP, que corrigen los fallos:

Si la instalación procede de una distribución de Linux, un proveedor de soporte a largo plazo o un servicio de alojamiento, comprueba qué paquete mantiene y qué actualización le corresponde. PHP 8.1 y las ramas anteriores ya no reciben actualizaciones del proyecto PHP, aunque algunas distribuciones y proveedores de soporte a largo plazo publican correcciones retroportadas. PHP también publicó correcciones mínimas en el código fuente para las ramas 7.4, 8.0 y 8.1. Eso no determina el estado de cada paquete: la corrección concreta depende de quien lo distribuye.

Qué hacer si no puedes actualizar de inmediato

PHP describe medidas temporales distintas para cada vulnerabilidad. Reducen la exposición a rutas concretas, pero no sustituyen la actualización.

• Para CVE-2026-109618, PHP recomienda establecer memory_limit=-1 en una configuración que las aplicaciones no puedan sobrescribir y limitar el tamaño del cuerpo de las peticiones. La falta de memoria en el sistema todavía puede activar la ruta vulnerable.
• Para CVE-2026-109619, recomienda desactivar session.upload_progress antes de analizar las peticiones y reiniciar los procesos de trabajo. En PHP 8.5, también señala fatal_error_backtraces=0 para la ruta confirmada relacionada con las trazas de errores fatales.

El Centro Nacional de Ciberseguridad del Reino Unido aconseja localizar las instalaciones PHP, dar prioridad a las expuestas a Internet y aplicar las actualizaciones o medidas temporales pertinentes. Si no es posible actualizar ni mitigar a tiempo, recomienda considerar la desconexión del sistema. Cuando la actualización o la desconexión inmediata no sea posible, aconseja buscar indicios de intrusión y puertas traseras durante la respuesta.

Si administras un sitio alojado por un proveedor

Pregunta al proveedor qué paquete de PHP gestiona y qué corrección corresponde a esa instalación. La misma comprobación se aplica a dispositivos y servicios que incluyan PHP: el aviso del proyecto y las recomendaciones del Centro Nacional de Ciberseguridad del Reino Unido instan a seguir las actualizaciones del distribuidor o proveedor responsable.

Quien visita una web no puede instalar una actualización en el servidor; esa tarea corresponde a la organización que lo opera.