PHP publica un aviso de seguridad crítico: qué hacer hoy (CVE-2026-109618 y CVE-2026-109619)
Publicado el · D4 Soluciones
El 21 de octubre de 2026, el equipo oficial de PHP publicó un aviso de seguridad sobre dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. PHP es el lenguaje sobre el que funcionan miles de sitios y sistemas, incluido el de tu empresa si usa PHP en el servidor. Si tu hosting usa una versión afectada, conviene actuar hoy.
Qué se sabe del aviso
Según la información publicada por el equipo de seguridad de PHP y por las firmas que analizaron el caso, ambas vulnerabilidades tienen una calificación crítica, con un puntaje CVSS v4.0 de 9,2. Los reportes describen que podrían permitir ejecución remota de código, lo que significa que alguien podría ejecutar instrucciones en el servidor sin tener una cuenta de acceso. Es un escenario grave, por eso la recomendación es actualizar sin esperar.
De forma simplificada, las fallas se relacionan con dos problemas al manejar las solicitudes que recibe el servidor:
- CVE-2026-109618: si el servidor se queda sin memoria mientras procesa una solicitud, puede dejar datos a medio inicializar, y la limpieza posterior los trata como válidos.
- CVE-2026-109619: parte del estado interno de una solicitud puede sobrevivir después de liberar su memoria, y una solicitud posterior en el mismo proceso podría usarlo antes de que se reinicie.
Qué versiones están afectadas y cuáles corregir
Las versiones corregidas publicadas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las versiones 8.1 y anteriores ya no reciben actualizaciones del equipo de PHP, por lo que sus usuarios dependen de que su proveedor de hosting aplique parches. Si tu servidor usa una de esas versiones, la solución de fondo es migrar a una versión vigente.
Qué tan urgente es
Los reportes no coinciden del todo sobre la explotación. Algunas firmas de seguridad informaron ataques tempranos y otras, que los registros solo mostraban intentos de sondeo, sin evidencia de intrusiones en ese momento. Con esa incertidumbre, lo prudente es tratar la actualización como prioritaria, sobre todo en sitios accesibles desde internet.
Qué hacer hoy
- Revisa tu versión de PHP. En el servidor, ejecuta
php -v, o revisa el selector de versión de PHP en tu panel de hosting. - Actualiza a una versión corregida. Si estás en 8.3, la versión mínima corregida es 8.3.36. Si estás en 8.2, es 8.2.35.
- Si tu hosting no permite actualizar, pregunta a tu proveedor cuándo aplicarán el parche y si mantienen versiones antiguas.
- Revisa tus aplicaciones después de actualizar. Un cambio de versión puede afectar extensiones o librerías, así que prueba formularios, inicio de sesión y funciones importantes.
- Revisa los registros del servidor en busca de solicitudes extrañas. Si encuentras algo sospechoso, cambia las contraseñas y consulta con alguien especializado.
Y si tu sitio usa otras tecnologías
Una actualización de PHP no reemplaza la mantención del resto del sitio. Si tu sitio usa un gestor de contenidos, plugins o librerías de terceros, revisa también sus versiones. Las vulnerabilidades en complementos son una de las vías más frecuentes de entrada.
Fuentes
- Patchstack: alerta sobre PHP, octubre 2026
- Tenable: preguntas frecuentes sobre php2shell (CVE-2026-109618 y CVE-2026-109619)
- Phoenix Security: ejecución remota en el núcleo de PHP
- watchTowr: preguntas frecuentes sobre CVE-2026-109618
En D4 Soluciones revisamos el estado de servidores y versiones de PHP en los sitios que mantenemos. Si no sabes qué versión usa tu sitio o quieres que lo revisemos, escríbenos.