Axios informó el 22 de octubre de un posible ataque que habría surgido el día anterior y de decenas de webs desconectadas temporalmente. PHP publicó las correcciones el 21 de octubre; The PHP Foundation dijo que, al publicarlas, su equipo no había identificado ningún exploit funcional.
Qué se sabe del posible ataque
El reporte de Axios describió interrupciones temporales mientras se aplicaban parches. Su relato no equivale a una confirmación de intrusiones: la declaración de The PHP Foundation se limitó a lo que su equipo había detectado en el momento de publicar las correcciones.
Las vulnerabilidades permiten potencialmente la ejecución remota de código (RCE): la ejecución de instrucciones en un servidor a través de una solicitud de red. PHP las calificó con 9,2 en la escala CVSS v4.0, que mide la gravedad de fallos de seguridad.
Dos fallos con mecanismos distintos
PHP describió CVE-2026-109618 como corrupción de memoria asociada al agotamiento de memoria. El fallo puede hacer que datos internos de una solicitud parcialmente inicializados se traten como válidos. CVE-2026-109619 afecta al estado global que queda obsoleto tras un error fatal; una solicitud posterior atendida por el mismo proceso puede reutilizar datos de memoria que ya se habían liberado.
| Identificador | Mecanismo descrito por PHP | Impacto potencial |
| CVE-2026-109618 | Corrupción de memoria asociada al agotamiento de memoria | Ejecución remota de código sin autenticación, bajo las condiciones descritas por PHP |
| CVE-2026-109619 | Estado global obsoleto después de un error fatal | Ejecución remota de código sin autenticación, bajo las condiciones descritas por PHP |
Wiz también describió una demostración de divulgación remota de memoria del proceso para CVE-2026-109618. La firma informó además de demostraciones de ejecución remota sin autenticación en imágenes de contenedor de WordPress, Drupal y Joomla. El fallo está en PHP, por lo que ese impacto no se limita a esos sistemas de gestión de contenidos.
PHP indicó que el riesgo afecta a las instalaciones que atienden solicitudes web y señaló mod_php como la configuración de mayor riesgo. Wiz situó el alcance de las vulnerabilidades en versiones que se remontan a PHP 5.4.
Investigadores y mantenedores tuvieron papeles distintos
La investigación combinó trabajo humano con herramientas de IA. OpenAI afirmó que Calif identificó un fallo crítico con ayuda de GPT-5.6 Sol. Wiz descubrió y comunicó ambas vulnerabilidades de forma independiente. Los mantenedores de PHP dirigieron las correcciones.
The PHP Foundation señaló que un desarrollador de PHP ya había detectado indicios del problema de memoria en 2024. Según la organización, una investigación posterior de Calif permitió concretar una vía de ejecución remota de código. La participación de modelos de IA apoyó la investigación; no sustituyó el trabajo de quienes analizaron y comunicaron los fallos ni el de los mantenedores que los corrigieron.
Versiones corregidas y divulgación
PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026. El proyecto indicó que actualizar es la única corrección completa; los ajustes temporales de configuración reducen rutas de ataque concretas, pero no dejan segura una instalación.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones del proyecto PHP, aunque algunos proveedores ofrecen correcciones retroportadas. La versión que corresponde a cada servidor depende de la rama y del proveedor que distribuya PHP. El aviso oficial de seguridad de PHP reúne las versiones corregidas y las indicaciones del proyecto. NeoTeo también publicó una cobertura previa de las versiones que corrigieron los fallos de PHP.
The PHP Foundation explicó que los identificadores CVE empezaron a circular el 20 de octubre y que el proyecto adelantó el calendario de publicación. También señaló que se difundieron antes de la divulgación coordinada un vídeo de prueba de concepto y binarios corregidos de Chainguard.
