Dos vulnerabilidades críticas en PHP: actualiza tus servidores
El proyecto PHP publicó actualizaciones urgentes para corregir dos vulnerabilidades críticas de ejecución remota de código sin autenticación: CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación CVSS v4.0 de 9,2.
Versiones afectadas
Las ramas soportadas requieren, como mínimo, las versiones corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, respectivamente. Las ramas 8.1 y anteriores están fuera del soporte oficial de PHP; algunos proveedores de sistemas operativos pueden ofrecer parches retroportados.
¿Qué riesgo existe?
Los errores se relacionan con la gestión de memoria y del estado interno entre peticiones. Bajo determinadas condiciones, un atacante remoto podría ejecutar código con los privilegios del proceso PHP, incluso antes de que se ejecute la aplicación.
Qué deben hacer las empresas
- Inventariar las versiones de PHP en servidores y aplicaciones expuestas a Internet.
- Actualizar a versiones corregidas o instalar los parches de seguridad del proveedor.
- Verificar la compatibilidad de aplicaciones y realizar copias de seguridad antes de actualizar.
- Comprobar que los servicios PHP-FPM o Apache utilizan realmente los binarios corregidos.
Una actualización del CMS o de sus plugins no sustituye a la actualización del intérprete PHP.