Cisco Talos informó en una actualización del 22 de octubre de 2026 de que había observado intentos de explotación contra CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades críticas de PHP. La mayoría de la actividad consistía en escaneos y envíos no coordinados de cargas. Talos no afirmó que esos intentos hubieran logrado comprometer sistemas.
Qué actividad observó Talos
Los intentos descritos por Talos aparecieron dentro de las horas posteriores a la divulgación de los fallos. Un intento de explotación es actividad dirigida a aprovechar una vulnerabilidad; por sí solo, no demuestra que el atacante consiguiera entrar en un sistema.
La evaluación inicial de Talos, publicada el 21 de octubre, decía que no había observado explotación en la naturaleza hasta las 14:00 UTC de ese día. La actualización del 22 de octubre añadió intentos detectados después. Las dos observaciones corresponden a momentos distintos.
Dos fallos en el núcleo de PHP
Talos atribuye a cada vulnerabilidad una puntuación de 9,2 en CVSS v4.0, el sistema que puntúa la gravedad de fallos de seguridad. Según Talos, afectan a compilaciones de PHP desde la versión 5.4 y pueden activarse mediante una solicitud HTTP antes de que se ejecute el código de la aplicación.
CVE-2026-109618 está relacionada con la gestión de memoria cuando esta se agota: una solicitud puede interrumpirse mientras sus datos aún se inicializan y, durante la limpieza, PHP puede tratar datos no válidos como válidos. CVE-2026-109619 afecta al uso de estado interno obsoleto después de que se haya liberado la memoria que lo respaldaba.
Versiones corregidas y medidas provisionales
CERT-EU enumera como corregidas las versiones PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. La rama que necesita cada instalación depende de la versión de PHP que ejecute; las distribuciones y los proveedores pueden publicar sus paquetes con numeración propia. NeoTeo ya explicó qué versiones de PHP corrigen los dos fallos.
Talos describe ajustes provisionales que reducen rutas concretas de ataque, como cambiar memory_limit, limitar post_max_size o desactivar session.upload_progress.enabled. En PHP 8.5 también menciona fatal_error_backtraces=0 para una ruta específica. Talos advierte que estos controles no ofrecen protección integral y recomienda actualizar a una versión corregida.
