Dos vulnerabilidades críticas en PHP permiten ejecución remota de código sin autenticación — Actualice de inmediato

El equipo de desarrollo de PHP (PHP Foundation) publicó el 21 de octubre de 2026 un lanzamiento de seguridad urgente que corrige dos vulnerabilidades de ejecución remota de código (RCE) presentes en el propio PHP. Los números CVE son CVE-2026-109618 y CVE-2026-109619, con una puntuación CVSS de 9.2 (crítica). Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según las estadísticas de W3Techs, aproximadamente el 70% de los sitios web con lenguaje del lado del servidor conocido utilizan PHP, y por el alcance del impacto estas vulnerabilidades han recibido el apodo de "php2shell".

La primera, CVE-2026-109618, aprovecha el momento en que el procesamiento de una solicitud alcanza el memory_limit (límite de memoria) de PHP. Cuando la memoria se agota, datos internos que no han terminado de inicializarse pueden ser tratados como "datos válidos", lo que finalmente permite la ejecución de código arbitrario. En configuraciones Apache con mod_php, un único pedido sin autenticación puede llevar a un ataque antes de que se ejecute el código de la aplicación; se ha informado que en la configuración por defecto se pudo reproducir un RCE completo. La segunda, CVE-2026-109619, es una vulnerabilidad de use-after-free (uso de memoria liberada) en la que estados internos antiguos persisten entre solicitudes y pueden explotarse cuando el mismo trabajador procesa solicitudes posteriores.

El impacto abarca todas las principales configuraciones de ejecución, incluyendo PHP-FPM, Apache (mod_php), php-cgi, FrankenPHP y LiteSpeed. La empresa de seguridad Wiz informó que, además de demostraciones en CMS populares como WordPress, Drupal y Joomla, se confirmó una vía de divulgación de memoria que podría exponer información sensible como contraseñas, tokens, claves API y certificados.

El desarrollo de los hechos también fue convulso. El número CVE se filtró externamente el 20 de octubre, un día antes de la divulgación prevista para el 22 de octubre, y se difundió junto con una puntuación CVSS errónea (10.0). El proyecto PHP adelantó la publicación en un día. En el momento de la publicación no se había confirmado la existencia de exploits funcionales, pero ya se había publicado código de prueba de concepto (PoC), y la CISA emitió el 21 de octubre una alerta pidiendo "la aplicación inmediata de parches"; la unidad cibernética del FBI también ha advertido estar en alerta.

La acción prioritaria es actualizar de inmediato a las versiones corregidas (8.5.12/8.4.27/8.3.36/8.2.35). PHP recomienda usar las versiones parcheadas que los principales distribuidores de Linux ya han integrado en sus paquetes, por lo que también se aconseja utilizar las versiones aportadas por la distribución cuando estén disponibles. En entornos que siguen usando PHP 5.x–8.1, las cuales ya no reciben soporte y por tanto no tienen versiones corregidas, es necesario aplicar mitigaciones: configurar en php.ini "session.upload_progress.enabled = Off" y reducir el acceso directo desde Internet colocando los servicios detrás de un WAF o una VPN. La empresa de seguridad Huntress insta a realizar un inventario de las instancias de PHP en funcionamiento, incluyendo php.exe/php-cgi.exe incluidos en software de terceros, entornos cPanel/Plesk y CMS como WordPress.

Estas vulnerabilidades se remontan a indicios detectados en la primera auditoría de seguridad externa de PHP realizada por Quarkslab en 2024 (vía OSTIF, con financiación de Sovereign Tech Agency). En agosto de 2026, investigadores y OpenAI informaron de forma independiente RCE explotables, lo que priorizó la corrección. PHP Foundation reconoció que se trató de "un fallo estructural dependiente de un equipo de seguridad pequeño", y aconseja a empresas y desarrolladores que operan servicios sobre PHP que aprovechen este momento para revisar las versiones de PHP en uso y sus fechas de fin de soporte.