El equipo de desarrollo de PHP ha publicado una alerta de seguridad urgente tras detectar dos vulnerabilidades críticas que podrían permitir a un atacante ejecutar código de forma remota en servidores vulnerables sin necesidad de autenticarse previamente.
PHP es uno de los lenguajes de programación más utilizados en el desarrollo web y está presente en numerosos sitios, aplicaciones, plataformas de comercio electrónico y sistemas de gestión de contenidos. Por este motivo, un fallo de seguridad en su núcleo puede representar un riesgo importante para las organizaciones que dependen de esta tecnología.
El 21 de octubre de 2026, el equipo oficial de PHP anunció la disponibilidad de nuevas versiones que corrigen ambas vulnerabilidades y recomendó actualizar las instalaciones afectadas lo antes posible.
Aviso oficial: https://www.php.net/archive/2026.php
1. Descripción de las vulnerabilidades
Las vulnerabilidades identificadas afectan al funcionamiento interno de PHP y están relacionadas con la gestión de memoria y el estado interno de las solicitudes procesadas por el servidor.
CVE-2026-109618: ejecución remota de código mediante corrupción de memoria
Esta vulnerabilidad está relacionada con la gestión de errores de memoria insuficiente (Out of Memory, OOM).
En determinadas circunstancias, PHP puede interrumpir el procesamiento de una solicitud mientras algunos datos internos todavía no se han inicializado por completo. Durante la limpieza posterior, el sistema podría interpretar esos datos como si fueran válidos.
Un atacante podría aprovechar esta condición para provocar un comportamiento inesperado y, potencialmente, conseguir la ejecución de código en el servidor afectado.
CVE-2026-109619: uso de estado interno obsoleto
La segunda vulnerabilidad está relacionada con el uso de información interna cuya memoria ya ha sido liberada.
En determinadas condiciones, parte del estado asociado a una solicitud puede permanecer disponible después de liberar la memoria que lo respaldaba. Una solicitud posterior procesada por el mismo trabajador podría utilizar ese estado antes de que se restablezca correctamente.
Esta situación puede generar condiciones que permitan la ejecución remota de código.
Ambas vulnerabilidades son especialmente preocupantes porque pueden afectar a instalaciones que reciben solicitudes web y, en los escenarios descritos por el equipo de PHP, no requieren que el atacante disponga de una cuenta autenticada.
2. Sistemas afectados
Según el aviso oficial, el riesgo afecta a las instalaciones de PHP que procesan solicitudes web, incluidos entornos que utilizan:
- PHP-FPM.
- Apache con
mod_php. php-cgi.- FrankenPHP.
- LiteSpeed.
El equipo de PHP señala que el riesgo es especialmente elevado en determinados despliegues de Apache con mod_php, donde se ha demostrado una vía de explotación capaz de activarse antes de que se ejecute el código de la aplicación.
Esto significa que disponer de una aplicación web correctamente programada no garantiza por sí solo la protección frente a estas vulnerabilidades: el problema se encuentra en el propio entorno de ejecución de PHP.
También es importante revisar productos de terceros, contenedores, paneles de administración y servicios que incorporen PHP como dependencia, incluso cuando el administrador no lo haya instalado directamente.
3. Versiones corregidas
El equipo de PHP ha publicado las siguientes versiones de seguridad:
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Los administradores deben comprobar qué versión está ejecutándose realmente en sus servidores y aplicar la actualización correspondiente.
Las instalaciones de PHP 8.1 y anteriores requieren especial atención, ya que estas ramas ya no reciben actualizaciones generales de seguridad del proyecto PHP. Algunos proveedores pueden ofrecer correcciones retroportadas, por lo que es necesario consultar las recomendaciones de la distribución o del proveedor de mantenimiento.
Las versiones corregidas y las instrucciones de actualización están disponibles en:
Página oficial de PHP: https://www.php.net/
Archivo oficial de avisos de seguridad: https://www.php.net/archive/2026.php
4. Impacto potencial
Si un atacante consigue explotar alguna de estas vulnerabilidades, las consecuencias dependerán de la configuración del servidor y de los permisos disponibles para el proceso de PHP.
Entre los posibles impactos se encuentran:
- Ejecución remota de código: posibilidad de ejecutar instrucciones arbitrarias en el entorno comprometido.
- Compromiso de aplicaciones web: alteración del comportamiento de una aplicación o de sus componentes.
- Acceso a información sensible: exposición potencial de archivos, credenciales y datos accesibles para el proceso afectado.
- Modificación de contenidos: manipulación de páginas web o archivos con los permisos correspondientes.
- Interrupción del servicio: degradación del rendimiento o indisponibilidad de aplicaciones.
- Compromiso adicional de la infraestructura: posibilidad de utilizar el servidor como punto de partida para nuevos ataques, según los privilegios y las medidas de aislamiento existentes.
La explotación no implica automáticamente que todos estos efectos vayan a producirse. El impacto real dependerá de las condiciones de explotación y de las medidas de seguridad desplegadas.
5. Medidas de mitigación y recomendaciones
La principal recomendación del equipo oficial de PHP es instalar una versión corregida. Las medidas temporales pueden reducir la exposición a determinadas vías de ataque, pero no sustituyen la actualización.
Actualizar PHP inmediatamente
Identifica las versiones instaladas y actualiza cada entorno a la versión corregida correspondiente. En sistemas Linux, utiliza preferentemente los paquetes de seguridad proporcionados por la distribución o el proveedor de mantenimiento.
Después de actualizar, reinicia o recarga los procesos necesarios para asegurarte de que los trabajadores están ejecutando la versión corregida.
Revisar servidores y servicios expuestos
Realiza un inventario de los servidores que procesan solicitudes web y prioriza aquellos accesibles desde Internet. Comprueba también las imágenes de contenedores, los servicios gestionados y los productos que incluyan PHP internamente.
Aplicar medidas temporales si no es posible actualizar
El aviso oficial describe ajustes de configuración que pueden reducir algunas rutas concretas de explotación, como limitar el tamaño de las solicitudes y las cargas de archivos o desactivar determinadas funciones relacionadas con el seguimiento del progreso de las sesiones.
Estas medidas requieren una evaluación de compatibilidad con la aplicación y no eliminan por completo el riesgo. Si no es posible aplicar una corrección con rapidez, debe valorarse el aislamiento temporal del servicio expuesto hasta poder actualizarlo de forma segura.
Revisar los registros de actividad
Examina los registros del servidor web, PHP y los sistemas de detección para identificar solicitudes anómalas, errores inesperados, procesos sospechosos o modificaciones de archivos que no estén justificadas.
Si existen indicios de compromiso, no basta con actualizar: también será necesario investigar el incidente, preservar las evidencias relevantes y valorar la rotación de credenciales y la recuperación del sistema.
Mantener actualizado el resto del entorno
La seguridad de PHP debe complementarse con actualizaciones del sistema operativo, servidor web, dependencias y aplicaciones. Asimismo, conviene aplicar el principio de mínimo privilegio, restringir el acceso a secretos y utilizar aislamiento entre servicios.
6. ¿Cómo comprobar la versión instalada?
En un entorno donde tengas autorización administrativa, puedes consultar la versión de PHP utilizada por la línea de comandos mediante:
php -vEste comando muestra la versión de PHP disponible en la terminal, pero no garantiza que coincida con la versión utilizada por el servidor web. En sistemas con varias instalaciones, PHP-FPM o contenedores, es necesario comprobar también la versión del servicio que atiende la aplicación.
Una vez realizada la actualización, verifica que el servicio web utiliza efectivamente la versión corregida y que no quedan procesos antiguos en ejecución.
7. Importancia de la respuesta rápida
Las vulnerabilidades que permiten la ejecución remota de código sin autenticación representan una amenaza especialmente importante cuando afectan a componentes expuestos a Internet.
La disponibilidad de una actualización pública también hace necesario reducir el tiempo entre la publicación del parche y su instalación. Los responsables de sistemas deben priorizar los activos expuestos, coordinarse con sus proveedores de alojamiento y comprobar si existen indicios de actividad maliciosa.
La prevención, la monitorización y una gestión adecuada de las actualizaciones son esenciales para minimizar las consecuencias de este tipo de incidentes.
Conclusión
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 ponen de manifiesto la importancia de mantener actualizado el entorno de ejecución de las aplicaciones web. Aunque el código de una aplicación sea seguro, un fallo en el intérprete puede comprometer la seguridad de todo el servicio.
La recomendación principal es clara: identificar las instalaciones afectadas, aplicar las versiones corregidas y verificar que los servicios utilizan realmente los componentes actualizados.
Los administradores que no puedan actualizar inmediatamente deben evaluar la posibilidad de aislar los servicios expuestos y aplicar las medidas temporales descritas por el equipo de PHP, sin considerarlas una solución definitiva.
Fuentes oficiales
- PHP — Avisos y actualizaciones de seguridad: https://www.php.net/archive/2026.php
- PHP — Sitio web oficial y descargas: https://www.php.net/
- ENISA — Comunicado conjunto sobre las vulnerabilidades críticas de PHP: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
- NCSC del Reino Unido — Alerta de seguridad sobre PHP: https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
Nota editorial: este artículo describe el aviso publicado el 21 de octubre de 2026. Antes de su publicación, conviene revisar las fuentes oficiales por si se han publicado nuevas versiones, detalles técnicos o recomendaciones adicionales.
