El equipo de desarrollo de PHP ha publicado actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas que permiten ejecutar código remotamente sin autenticación. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, presentan una gravedad de 9,2 sobre 10 según CVSS v4.0 y afectan a numerosas instalaciones de este lenguaje de programación utilizado en servidores web.
Las correcciones se han publicado este 21 de octubre de 2026, después de que organismos europeos de ciberseguridad alertaran del peligro para páginas y aplicaciones expuestas a Internet. Según Reuters, varios servicios institucionales llegaron a desconectarse preventivamente. La situación afecta potencialmente a plataformas basadas en PHP, entre ellas WordPress, Drupal, Joomla y Magento, aunque el riesgo depende de la versión instalada en cada servidor.
PHP publica cuatro actualizaciones para corregir las vulnerabilidades críticas
El equipo responsable de PHP había anunciado inicialmente que las correcciones llegarían el 21 de octubre a las 14:00 UTC, equivalentes a las 16:00 en España peninsular. Sin embargo, las actualizaciones terminaron publicándose antes de lo previsto, aproximadamente a las 13:30 UTC, acompañadas de información técnica sobre ambas vulnerabilidades.
Las versiones corregidas son las siguientes:
| Rama de PHP | Versión de seguridad |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Todas las instalaciones anteriores a estas revisiones dentro de sus respectivas ramas deben actualizarse. El proyecto también advierte de que PHP 8.1 y las generaciones más antiguas ya no reciben mantenimiento ordinario, aunque algunos proveedores ofrecen correcciones adaptadas y se han facilitado parches de código fuente para determinadas versiones sin soporte.
La gravedad del problema radica en que un atacante podría ejecutar instrucciones en el servidor sin disponer de credenciales de acceso. Esto abre la puerta al robo de información, la modificación de páginas y el acceso a otros recursos del sistema, dependiendo de los permisos y de la configuración de la instalación comprometida.
Plataformas de gestión de contenidos y comercio electrónico como WordPress, Drupal, Joomla y Magento dependen de PHP para su funcionamiento. Por ello, las dos vulnerabilidades críticas recién descubiertas podrían poner en riesgo numerosas páginas web, lo que hace imprescindible actualizar cuanto antes las instalaciones de PHP utilizadas por sus servidores.
CVE-2026-109618 y CVE-2026-109619 afectan a la gestión de memoria
La primera vulnerabilidad, CVE-2026-109618, está relacionada con un problema de corrupción de memoria cuando PHP gestiona determinadas situaciones de agotamiento de recursos. En estas circunstancias, el procesamiento de una petición puede interrumpirse mientras algunas estructuras internas todavía no están completamente inicializadas, provocando operaciones posteriores sobre información incorrecta.
Por su parte, CVE-2026-109619 afecta a la conservación de estados internos entre peticiones. Determinados datos pueden continuar siendo utilizados después de que la memoria asociada haya sido liberada, una situación que puede desencadenar comportamientos inesperados y permitir la ejecución de código malicioso.
El aviso oficial incluye entre los entornos afectados PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de seguridad considera especialmente preocupantes determinadas configuraciones con mod_php, donde se ha demostrado la posibilidad de desencadenar uno de los fallos antes de que comience a ejecutarse el código de la aplicación.
CERT-EU recomienda desconectar temporalmente los servidores que no puedan actualizarse
El equipo de respuesta ante emergencias informáticas de la Unión Europea, CERT-EU, ha actualizado su aviso de seguridad 2026-018 para confirmar la publicación de los parches y recomendar su instalación inmediata. El organismo advierte de que ya circulan pruebas de concepto de explotación, aumentando el riesgo de que aparezcan ataques contra servidores sin actualizar.
La preocupación no se limita a un posible escenario futuro. Cloudflare ha comunicado la detección de intentos tempranos de explotación, mientras que la empresa especializada Patchstack también ha recibido información sobre actividad sospechosa relacionada con los fallos. Estas observaciones no permiten determinar por sí solas cuántos servidores han sido comprometidos.
Para las organizaciones que no puedan aplicar las actualizaciones inmediatamente, CERT-EU recomienda valorar el aislamiento temporal de los servicios afectados respecto a Internet. Esta medida pretende reducir la exposición mientras se prepara la corrección, especialmente cuando las aplicaciones gestionan información sensible o proporcionan acceso a sistemas internos.
Cloudflare está desplegando protecciones adicionales mediante su Web Application Firewall (WAF), pero el propio equipo de PHP advierte de que no existen medidas de mitigación completas que sustituyan la actualización. Los filtros de tráfico pueden bloquear determinados intentos de ataque, aunque no garantizan la eliminación de todas las vías de explotación.
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.
We are seeing early attacks emerging and are updating mitigations as new vectors show up.
This is a STOPGAP only. Patch as soon as @ThePHPF releases the update at 14:00 UTC today.
— Dane Knecht 🦭 (@dok2001) October 21, 2026
Actualizar WordPress no corrige automáticamente los fallos del servidor PHP
Uno de los aspectos más importantes para los administradores de páginas web es que las vulnerabilidades se encuentran en PHP y no directamente en WordPress. Por tanto, instalar la versión más reciente del gestor de contenidos, actualizar sus plugins o modificar el tema no garantiza que el servidor esté protegido.
La empresa de seguridad Wordfence ha destacado esta diferencia, recordando que las actualizaciones automáticas de WordPress no necesariamente modifican la versión de PHP utilizada por el alojamiento. Los responsables de las páginas deben comprobar qué versión ejecuta el servidor y confirmar que su proveedor ha instalado las correcciones correspondientes.
En los alojamientos compartidos, la actualización puede depender directamente de la empresa de hosting, mientras que los administradores de servidores propios deberán revisar los paquetes disponibles para su distribución. Algunas distribuciones Linux incorporan correcciones de seguridad sin cambiar necesariamente el número principal de versión, por lo que también conviene consultar los avisos del proveedor.
La situación resulta especialmente delicada para instalaciones antiguas que todavía dependen de PHP 7.4, 8.0, 8.1 o versiones anteriores. Aunque existen algunas correcciones adaptadas, mantener estas ramas implica otros riesgos derivados de la ausencia de soporte general. Además, PHP 8.2 finalizará su mantenimiento oficial el 31 de diciembre de 2026.
Con las nuevas versiones ya disponibles, la prioridad es actualizar PHP y verificar que los servicios afectados utilizan realmente las bibliotecas corregidas. Los administradores también deben revisar posibles indicios de actividad maliciosa, especialmente si sus servidores permanecieron expuestos antes de la publicación de los parches. CERT-EU insiste en que las mitigaciones temporales no sustituyen una instalación actualizada.
Vía: Wccftech
