El proyecto PHP publicó el 21 de octubre de 2026 correcciones para CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades críticas del núcleo del lenguaje. Las actualizaciones cubren cuatro ramas de PHP; el proyecto considera que actualizar es la única solución completa para corregirlas.
Qué hacen los dos fallos y a qué configuraciones afectan
CVE-2026-109618 afecta a la gestión de errores por falta de memoria: si la ejecución se interrumpe mientras los datos de una petición aún se están inicializando, el proceso de limpieza puede tratarlos como si estuvieran completos. CVE-2026-109619 deja un estado interno obsoleto después de liberar la memoria que lo respaldaba; una petición posterior puede reutilizarlo en el mismo proceso trabajador.
PHP señaló que las instalaciones web que usan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP o LiteSpeed están expuestas. El proyecto identificó mod_php como la configuración de mayor riesgo y señaló una vía que podía ejecutarse antes de que empezara el código de la aplicación. Google Cloud asignó a cada vulnerabilidad una puntuación base de 9,2 en CVSS v4.0, la escala de gravedad de fallos de seguridad.
Wiz describió demostraciones de ejecución remota de código sin autenticación y de divulgación de memoria de procesos en aplicaciones concretas. PHP también calcula que el problema puede permitir ejecución remota de código o exposición de memoria, según la vulnerabilidad y la configuración. La estimación de OpenAI y Wiz de que PHP se utiliza en alrededor del 70 % de los sitios web se refiere al uso del lenguaje, no al porcentaje de sitios vulnerables o comprometidos.
En el episodio de Today in Focus, Michael Safi y Aisha Down conversan sobre los fallos de PHP, el esfuerzo por corregirlos y los problemas de mantener infraestructura web antigua. El podcast está en inglés y ofrece contexto general, no una guía técnica para aplicar las actualizaciones.
Versiones de PHP que corrigen los fallos
PHP publicó las versiones corregidas el 21 de octubre. La rama que utilices determina cuál debes instalar. El archivo oficial de versiones y avisos de PHP recoge las correcciones y sus detalles.
| Rama de PHP | Versión corregida para CVE-2026-109618 y CVE-2026-109619 |
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones de seguridad regulares del proyecto. PHP proporcionó backports mínimos del código fuente para las ramas 7.4, 8.0 y 8.1; las distribuciones y los proveedores de soporte a largo plazo pueden ofrecer sus propios paquetes. Si administras una instalación antigua, consulta las actualizaciones disponibles para tu distribución o proveedor.
Las reglas de un cortafuegos de aplicaciones web pueden reducir la exposición, pero no sustituyen la actualización: PHP indica que instalar una versión corregida es la única solución completa para estos dos CVE.
Qué aportaron la investigación humana y la IA
OpenAI atribuyó a Calif, como parte de Patch the Planet, la identificación de un fallo con GPT-5.6 Sol. Calif sitúa el hallazgo de varias vías de ejecución remota de código el 1 de agosto de 2026 y el primer informe a PHP el 11 de agosto. Ryan Austin, el investigador de Calif, explicó que empleó un modelo de lenguaje, pero no un sistema de pruebas especial ni acceso a modelos no disponibles para el público. También destacó su experiencia con PHP y el conocimiento de vulnerabilidades anteriores del lenguaje.
Wiz dijo que encontró una vulnerabilidad de forma independiente el 19 de agosto y que comunicó los fallos a PHP el 24 de agosto. La PHP Foundation atribuyó también a OpenAI un informe independiente sobre la misma causa raíz y señaló que el 18 de septiembre comunicó rutas de ataque adicionales. Los relatos describen aportaciones de varios equipos, con investigadores humanos dirigiendo el trabajo con modelos de IA.
Patch the Planet ya existía antes de esta divulgación. El 21 de octubre, OpenAI publicó su relato de la respuesta coordinada y propuso un marco de cinco etapas para futuras divulgaciones coordinadas.
El intento observado antes de la divulgación
Amazon informó de un intento de explotación contra una honeypot MadPot el 17 de octubre, antes de la divulgación pública. Amazon indicó que no pudo determinar cómo obtuvo el actor la información ni si el intento habría funcionado contra un sistema real.
La PHP Foundation situó la circulación en internet de los identificadores CVE el 20 de octubre y dijo que PHP adelantó el calendario de divulgación. El proyecto publicó las correcciones al día siguiente.
