PHP corrige dos fallos críticos con una puntuación de 9,2 que permiten la ejecución remota de código

PHP publicó actualizaciones de seguridad el 21 de octubre de 2026, tras identificar dos vulnerabilidades CVE-2026 que afectan a instalaciones expuestas a Internet y tienen una puntuación CVSS 4.0 de 9,2. El equipo de seguridad de PHP instó a los usuarios a instalar los parches de inmediato. Las vulnerabilidades están registradas como CVE-2026-109618 y CVE-2026-109619. La primera se debe a una corrupción durante la gestión de falta de memoria: al limpiar una solicitud, PHP puede acceder a datos no válidos, lo que podría permitir que un atacante ejecute código de forma remota.

CVE-2026-109619 afecta a un estado global obsoleto que puede apuntar a memoria de una solicitud ya liberada. Una solicitud posterior podría acceder a esa memoria antes de que el programa haya inicializado por completo su estado, lo que también genera un riesgo de ejecución remota de código. Según el aviso, las configuraciones afectadas incluyen PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.

Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. PHP 8.1 y las versiones anteriores ya no reciben actualizaciones del proyecto PHP, aunque algunas distribuciones y proveedores de soporte a largo plazo podrían ofrecer correcciones retroportadas. Las vulnerabilidades también han llamado la atención tras informarse de los primeros ataques.

El director de tecnología de Cloudflare, Dane Knecht, dijo que la compañía estaba actualizando las mitigaciones temporales a medida que surgían nuevos vectores de ataque, pero advirtió que estas medidas no sustituyen la instalación de las actualizaciones de PHP.

Ante los primeros ataques reportados y las medidas de los cortafuegos descritas como temporales, ¿con qué rapidez deberían instalar los propietarios de sitios web los parches de PHP?