Los desarrolladores del lenguaje de scripting para servidores PHP —fundamental para gran parte de la tecnología web en Internet— tienen previsto dar a conocer dos vulnerabilidades. Se han facilitado los siguientes números de seguimiento CVE, aunque con información técnica limitada y sin confirmación por parte de los desarrolladores principales sobre las versiones afectadas.

• CVE-2026-109618
• CVE-2026-109619

Tras el anuncio y la divulgación de la gravedad de las vulnerabilidades, investigadores de seguridad como WatchTowr comenzaron a investigar y a proporcionar detalles sobre el próximo parche.

Entre otros aspectos, se reveló que se trata de vulnerabilidades de ejecución remota de código con graves implicaciones: la ejecución remota de código afecta a una amplia gama de versiones a partir de PHP 5. Dado que estas tecnologías se utilizan en aplicaciones conectadas a Internet, esto supone un alto riesgo de explotación remota. Cabe destacar que, en el momento de redactar este artículo, WatchTowr no cree que la vulnerabilidad esté siendo explotada.

Los sistemas que corren mayor riesgo son todos aquellos que utilizan PHP. Se trata de una amplia gama de tecnologías, entre las que se incluyen WordPress, Joomla y Magento, que ya son conocidas por ser objeto de explotaciones generalizadas.

En el momento de redactar este artículo, el próximo lanzamiento del parche dará lugar a una carrera entre los actores maliciosos y los administradores de sistemas para aplicar el parche antes de que se puedan desarrollar y desplegar los exploits. Según se ha informado, ya existen exploits de prueba de concepto que funcionan, por lo que, al parecer, algunos administradores de sistemas están desconectando temporalmente los sitios web hasta que se publique el parche. Las versiones 8.1 o inferiores no recibirán el parche.

Si gestionas algún sistema que utilice PHP en el entorno de tu organización, te recomendamos que te pongas en contacto con Integrity360 para obtener asesoramiento y asistencia.

Actualización: Se va a corregir una vulnerabilidad crítica en una amplia gama de versiones de PHP 21/10/2026

Recientemente se han identificado dos vulnerabilidades en PHP, un lenguaje de scripting del lado del servidor muy utilizado que constituye un componente clave de muchas aplicaciones web. PHP ha publicado desde entonces actualizaciones de seguridad para solucionar estos problemas. Los siguientes identificadores CVE están asociados a las vulnerabilidades.

La información facilitada por los desarrolladores indica que las dos vulnerabilidades, enumeradas a continuación, están relacionadas con la corrupción por falta de memoria y con vulnerabilidades de estado global obsoleto.

• CVE-2026-109618: la gestión del agotamiento de memoria puede interrumpir PHP mientras los datos internos de la solicitud solo están parcialmente inicializados. La limpieza de la solicitud podría entonces tratar los datos no válidos como válidos.
• CVE-2026-109619: el estado interno propio de una solicitud puede persistir después de que se haya liberado la memoria que lo respalda. Una solicitud posterior gestionada por el mismo trabajador podría utilizar ese estado obsoleto antes de que la inicialización normal lo restablezca.

La publicación del parche para las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 es, según los desarrolladores, la única solución completa para mitigar la vulnerabilidad. Las distribuciones de Linux recibieron los parches por adelantado, mientras que las versiones más antiguas, incluidas PHP 8.1 y anteriores, no recibirán el parche.

Los desarrolladores de PHP han declarado que«todas las instalaciones de PHP que atienden solicitudes web, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Consideramos que el riesgo es mayor para mod_php, ya que existe un exploit demostrado en el que una solicitud no autenticada puede desencadenar el ataque antes de que se ejecute ningún código de la aplicación». Los sistemas que corren mayor riesgo son todos aquellos que utilizan PHP. Se trata de una amplia gama de tecnologías, entre las que se incluyen WordPress, Joomla y Magento, que ya son conocidas por ser objeto de numerosos ataques.

En el momento de redactar este artículo, ya se ha publicado el parche, por lo que se insta a los administradores de sitios web a actualizar todas las instalaciones con carácter urgente. Según se informa, ya existen exploits de prueba de concepto que funcionan, por lo que, al parecer, algunos administradores de sistemas están desconectando temporalmente los sitios web hasta que se publique el parche.

Las organizaciones que no puedan aplicar inmediatamente las actualizaciones de seguridad pertinentes de PHP deberían considerar la posibilidad de desconectar temporalmente las aplicaciones afectadas que estén expuestas a Internet hasta que se haya completado la aplicación del parche. Seguir utilizando sistemas vulnerables puede exponerlos a riesgos de seguridad, especialmente cuando usuarios no autenticados tienen acceso directo a PHP.

Integrity360 seguirá de cerca el lanzamiento del parche y proporcionará más información a medida que se desarrollen los acontecimientos relacionados con esta vulnerabilidad crítica.

Si gestiona algún sistema que utilice PHP en el entorno de su organización, le recomendamos que se ponga en contacto con Integrity360 para obtener asesoramiento y asistencia.