El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas que afectan a PHP, bajo las referencias CVE-2026-109618 y CVE-2026-109619. Con una puntuación CVSS de 9,2/10 cada una, estos fallos pueden permitir que un atacante remoto ejecute código arbitrario en un servidor vulnerable sin necesidad de autenticación previa.
El equipo de PHP publicó un primer comunicado el 20 de octubre de 2026, anunciando que los parches estarían disponibles al día siguiente a las 16:00, hora de París.
CVE-2026-109618 y CVE-2026-109619: dos vulnerabilidades críticas en el núcleo de PHP
Estas dos vulnerabilidades afectan directamente al motor de ejecución de PHP. Se basan en errores de gestión de memoria que pueden provocar corrupción de memoria y, en determinadas condiciones, la ejecución remota de código (RCE, por sus siglas en inglés):
CVE-2026-109618:
Un atacante remoto no autenticado puede provocar condiciones de falta de memoria en PHP para corromper la memoria y ejecutar código de forma remota en servidores web. La gravedad es crítica y la urgencia inmediata, ya que varios CERT nacionales han emitido avisos urgentes sobre la disponibilidad activa de parches de seguridad y el riesgo de compromiso total del sistema sin necesidad de autenticación.
CVE-2026-109619:
Un error en el seguimiento del estado de la memoria en el motor de PHP permite a un atacante remoto no autenticado desencadenar una condición de "use-after-free" al explotar un estado global obsoleto que hace referencia a memoria liberada, lo que conlleva la ejecución remota de código arbitrario en todas las configuraciones principales de servidores web, incluidos Apache, Nginx y PHP-FPM. La gravedad es crítica y la urgencia inmediata: varios CERT nacionales han emitido advertencias urgentes para una publicación coordinada de parches, y la vulnerabilidad afecta al entorno de ejecución del lenguaje base utilizado por la mayoría de la web, creando una superficie de ataque masiva a pesar de la ausencia de un exploit público confirmado.
¿Qué versiones de PHP están afectadas?
Las vulnerabilidades afectan a las siguientes versiones de PHP:
PHP todas las versiones 5.x
PHP todas las versiones 6.x
PHP todas las versiones 7.x
PHP todas las versiones 8.0.x
PHP todas las versiones 8.1.x
PHP versiones 8.2.x anteriores a la 8.2.35
PHP versiones 8.3.x anteriores a la 8.3.36
PHP versiones 8.4.x anteriores a la 8.4.27
PHP versiones 8.5.x anteriores a la 8.5.12
Para las versiones de PHP 5.x, 6.x, 7.x, 8.0.x y 8.1.x, no se ofrecen parches dentro del soporte oficial de PHP, ya que estas ramas han llegado al final de su vida útil.
¿Qué entornos están expuestos?
Las vulnerabilidades afectan a diferentes modos de ejecución de PHP, en particular a los entornos basados en Apache con mod_php y PHP-FPM.
Las condiciones de explotación varían según la configuración. Algunos escenarios se han demostrado específicamente en mod_php y PHP-FPM, mientras que otros entornos podrían requerir condiciones adicionales.
Los servidores web accesibles desde Internet son una prioridad, ya que pueden recibir peticiones especialmente diseñadas para desencadenar los comportamientos vulnerables.
¿Cómo detectar las CVE-2026-109618 y CVE-2026-109619?
Compruebe si utiliza alguna de las versiones de PHP mencionadas anteriormente en este artículo.
Los usuarios de la plataforma de gestión de vulnerabilidades Cyberwatch ya pueden detectar esta vulnerabilidad desde el 21 de octubre de 2026. No dude en contactar con nuestro equipo para cualquier solicitud de información.
