Resumen:
El equipo de desarrollo de PHP lanzó oficialmente una actualización de seguridad de emergencia el 21 de octubre de 2026 para corregir dos vulnerabilidades de seguridad graves. Estas dos vulnerabilidades están numeradas como CVE-2026-109618 y CVE-2026-109619 respectivamente. Ambos están clasificados como graves y pueden permitir a los atacantes ejecutar código de forma remota sin iniciar sesión. Los funcionarios recomiendan encarecidamente que todos los usuarios de PHP actualicen inmediatamente a la versión reparada para evitar ataques al servidor.
Las versiones corregidas lanzadas esta vez incluyen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los funcionarios señalaron que la vulnerabilidad afecta los entornos de implementación de PHP que manejan solicitudes a través de la red, incluidos PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP enfatizó específicamente que los riesgos ambientales del uso de Apache mod_php son de particular preocupación, ya que ha habido demostraciones de que los atacantes pueden desencadenar ataques antes de que el código de la aplicación comience a ejecutarse.
La primera vulnerabilidad, CVE-2026-109618, está relacionada con el mecanismo de manejo del agotamiento de la memoria. Cuando PHP encuentra memoria insuficiente, el programa puede interrumpir el flujo de procesamiento cuando los datos de la solicitud interna no se han inicializado por completo y luego utilizar estos datos no válidos como datos válidos al limpiar recursos. Este estado anormal puede provocar daños en la memoria y puede explotarse aún más bajo ciertas condiciones, logrando en última instancia la ejecución remota del código.
La segunda vulnerabilidad, CVE-2026-109619, implica memoria liberada y estado interno caducado. Es posible que algunos estados internos pertenecientes a la solicitud actual aún permanezcan después de que se libere la memoria correspondiente. Las solicitudes posteriores manejadas por el mismo proceso de trabajo pueden utilizar datos obsoletos antes de que la inicialización normal restablezca estos estados, lo que provoca problemas de seguridad. Ambas vulnerabilidades pueden permitir a los atacantes traspasar los límites de ejecución del programa original.
La puntuación CVSS v4.0 de ambas vulnerabilidades es 9,2, que es un nivel grave. El peligro es que un atacante puede no necesitar una cuenta, contraseña u otras credenciales de autenticación válidas para activar la vulnerabilidad mediante la elaboración de solicitudes de red específicas. Si el ataque tiene éxito, el atacante puede ejecutar comandos maliciosos, robar datos, instalar programas maliciosos o utilizar privilegios de servidor para continuar ampliando el alcance de la intrusión.
PHP es uno de los lenguajes de programación del lado del servidor más comunes en aplicaciones de Internet y se usa ampliamente para la generación dinámica de páginas web, la interacción de bases de datos y el procesamiento comercial en segundo plano. Los sistemas de gestión de contenidos como WordPress también dependen de PHP para ejecutarse, por lo que esta vulnerabilidad no sólo afecta a una determinada plataforma de sitio web, sino que también afecta al entorno operativo subyacente. Incluso si un sitio web ha actualizado el programa principal y los complementos de WordPress, el sitio web puede seguir estando en riesgo mientras la versión de PHP en el servidor siga siendo vulnerable. Los funcionarios de WordPress también dejaron en claro que no es necesario resolver este problema lanzando una actualización central de WordPress. Los propietarios de sitios web deben verificar y actualizar el entorno PHP en ejecución.
Para los sitios web que utilizan ramas compatibles de PHP 8.2 y superiores, los administradores deben instalar la versión de reparación correspondiente lo antes posible. Los usuarios que todavía utilizan PHP 8.1 y versiones anteriores deben prestar especial atención: estas versiones ya no reciben actualizaciones de seguridad proporcionadas directamente por el proyecto PHP. Sin embargo, algunas distribuciones de Linux, proveedores de soporte a largo plazo u otros proveedores pueden proporcionar parches de reversión, y los usuarios relevantes deben confirmar con sus proveedores de software si existe una solución.
Las agencias de seguridad han advertido previamente que si el sitio web no puede solucionar la vulnerabilidad a tiempo, debería considerar restringir temporalmente el acceso externo y desconectar el sistema si es necesario. La revelación de esta vulnerabilidad también desencadenó respuestas de emergencia de muchos países y regiones. Algunas agencias gubernamentales europeas tomaron la iniciativa de cerrar sitios web antes de que se lanzara el parche para reducir los riesgos potenciales. Reuters informa que algunas agencias gubernamentales en los Países Bajos y Finlandia han tomado medidas preventivas, lo que refleja la presión real que este incidente de seguridad ha ejercido sobre los servicios de redes públicas.
El lanzamiento oficial de emergencia de parches de PHP significa que los problemas de seguridad que anteriormente estaban en la etapa de advertencia han entrado en la etapa de reparación real. Para los operadores de sitios web, la tarea más importante en este momento es confirmar la versión de PHP que realmente está ejecutando el servidor, verificar si el proveedor de alojamiento ha implementado actualizaciones y verificar el sistema en busca de procesos anormales, modificaciones de archivos no autorizadas o conexiones de red sospechosas.
La seguridad del sitio web depende no sólo de la aplicación en sí, sino también de si el entorno operativo subyacente se mantiene de manera oportuna. Dado que PHP se implementa ampliamente en varios sitios web y servidores, la instalación oportuna de versiones de reparación oficiales es una medida clave para reducir el riesgo de estas dos vulnerabilidades graves.
Más información:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
Comentarios