C100
Dos fallos graves descubiertos en PHP desencadenaron una respuesta internacional de seguridad. Las actualizaciones ya están disponibles, pero una tercera vulnerabilidad revelada posteriormente mantiene la atención sobre la protección de los servidores.
Una amenaza en el corazón de Internet
Durante la semana del 19 al 25 de octubre de 2026, la comunidad internacional de ciberseguridad enfrentó una situación especialmente delicada: la divulgación de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para construir sitios web y aplicaciones empresariales.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9.2 sobre 10 en CVSS 4.0. Ambas pueden permitir la ejecución remota de código (RCE) sin que el atacante necesite autenticarse.
El 21 de octubre, el equipo de desarrollo de PHP publicó actualizaciones extraordinarias para corregir los problemas y pidió a los administradores de sistemas instalarlas inmediatamente.
La gravedad del incidente no reside únicamente en la posibilidad de comprometer un servidor. También está relacionada con la enorme presencia de PHP en Internet, donde sustenta plataformas de comercio electrónico, portales empresariales, sistemas de gestión de contenidos y aplicaciones institucionales.
¿Qué ocurrió exactamente?
Los investigadores identificaron dos errores relacionados con la administración de memoria y el estado interno de PHP.
CVE-2026-109618: corrupción de memoria durante condiciones de memoria insuficiente.
Esta vulnerabilidad aparece cuando PHP interrumpe determinadas operaciones al alcanzar un límite de memoria. En ciertas circunstancias, estructuras internas pueden quedar parcialmente inicializadas y posteriormente ser procesadas incorrectamente durante la limpieza de recursos.
Un atacante podría aprovechar esta condición para provocar corrupción de memoria y, mediante una explotación exitosa, ejecutar instrucciones no autorizadas.
CVE-2026-109619: reutilización de estado interno inválido.
El segundo problema está relacionado con información interna de una solicitud que puede permanecer accesible después de que la memoria correspondiente haya sido liberada.
Cuando el servidor procesa solicitudes posteriores, esa información inválida podría utilizarse de forma insegura y abrir una vía para ejecutar código arbitrario.
Ambas vulnerabilidades afectan mecanismos internos del lenguaje, lo que explica por qué la protección no depende exclusivamente de la calidad del código desarrollado por cada empresa.
¿Por qué representan un riesgo tan elevado?
Una vulnerabilidad de ejecución remota de código puede permitir que un atacante ejecute instrucciones dentro del contexto de seguridad del proceso comprometido.
Dependiendo de los permisos del servidor, de su configuración y de los controles de aislamiento, las consecuencias podrían incluir:
- Robo de información confidencial y credenciales.
- Modificación de archivos y aplicaciones.
- Instalación de puertas traseras y software malicioso.
- Acceso no autorizado a bases de datos.
- Interrupción de servicios empresariales.
- Utilización del servidor comprometido para realizar nuevos ataques.
Un aspecto especialmente preocupante es que, según el propio equipo de PHP, en determinadas configuraciones con Apache y mod_php se ha demostrado la posibilidad de activar una explotación antes de que se ejecute el código de la aplicación.
Esto significa que controles implementados exclusivamente dentro de WordPress, Laravel u otras aplicaciones no necesariamente pueden detener el ataque.
¿Qué versiones de PHP están afectadas?
El equipo de PHP publicó las siguientes versiones corregidas el 21 de octubre de 2026:
| Rama de PHP | Versión mínima corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 y anteriores | Sin soporte oficial; requieren migración o parches específicos del proveedor |
PHP 8.2 llegará al final de su periodo de soporte el 31 de diciembre de 2026, por lo que las organizaciones deberían planificar su migración a una rama más reciente.
Una tercera vulnerabilidad mantiene la alerta
El 23 de octubre, el equipo de PHP informó sobre una tercera vulnerabilidad, identificada como CVE-2026-115560.
A diferencia de las dos primeras, su explotación requiere una combinación poco habitual de configuraciones de sesiones y comportamiento de la aplicación.
Este tercer problema no quedó corregido con las actualizaciones del 21 de octubre. Como medida preventiva, los responsables de PHP recomendaron desactivar temporalmente la función de seguimiento del progreso de carga de archivos mediante sesiones:
session.upload_progress.enabled=0Esta configuración debe aplicarse a nivel de servidor y requiere reiniciar los procesos PHP correspondientes. El equipo de desarrollo anunció que abordaría el problema en su siguiente ciclo regular de actualizaciones.
WordPress y las plataformas de comercio electrónico también están expuestas
WordPress, WooCommerce y numerosas plataformas empresariales utilizan PHP para ejecutar sus operaciones.
Por ello, aunque una instalación de WordPress tenga sus plugins actualizados, contraseñas robustas y mecanismos de autenticación multifactor, podría continuar expuesta si el servidor utiliza una versión vulnerable de PHP.
Es importante distinguir entre proteger una aplicación y proteger la infraestructura que la ejecuta.
La actualización del núcleo de WordPress, sus temas o sus plugins no sustituye la actualización del intérprete PHP.
Para los negocios que operan tiendas electrónicas, portales de clientes o sistemas de procesamiento de información, esta situación merece atención prioritaria.
¿Qué deben hacer las empresas?
La respuesta debe combinar actualización tecnológica, verificación y vigilancia de posibles compromisos.
1. Identificar todas las instalaciones de PHP
Revisar servidores públicos, servicios internos, contenedores, plataformas de hosting y aplicaciones que incorporen PHP.
2. Instalar las actualizaciones de seguridad
Aplicar las versiones corregidas, realizar respaldos previos y comprobar el funcionamiento de los sistemas después de actualizar.
3. Aplicar medidas temporales cuando no sea posible actualizar
Reducir la exposición pública, revisar las configuraciones de PHP y valorar el aislamiento de los servicios vulnerables. Estas medidas no sustituyen los parches.
4. Buscar indicios de compromiso
Analizar registros, procesos inesperados, archivos modificados, nuevas cuentas, conexiones salientes sospechosas y cambios de configuración.
5. Incorporar la gestión de vulnerabilidades a la operación habitual
Mantener inventarios tecnológicos, responsables de actualización, procedimientos de respuesta a incidentes y evidencias de las correcciones aplicadas.
Estas acciones coinciden con las recomendaciones publicadas por el equipo de PHP y CERT-EU.
Atención especial para servidores Windows
El 26 de octubre, PHP también anunció nuevas compilaciones para Windows: 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1.
Estas incorporan una corrección adicional para una vulnerabilidad en la biblioteca Brotli, identificada como CVE-2026-111497, que puede resultar relevante para aplicaciones que utilizan descompresión automática de respuestas HTTP mediante cURL.
Las organizaciones que ejecutan PHP en Windows deben comprobar que están utilizando las compilaciones actualizadas.
Una lección sobre la seguridad de las dependencias tecnológicas
El incidente de octubre de 2026 demuestra que incluso tecnologías consolidadas y ampliamente utilizadas pueden contener vulnerabilidades graves durante largos periodos.
También evidencia que la seguridad de una aplicación no termina en su código fuente.
Un sistema puede haber sido desarrollado siguiendo buenas prácticas, incorporar controles de acceso, utilizar comunicaciones cifradas y contar con mecanismos avanzados de autenticación. Sin embargo, si alguno de sus componentes fundamentales presenta una vulnerabilidad crítica, la seguridad del conjunto puede verse comprometida.
Para las empresas, esto refuerza la necesidad de gestionar la seguridad como un proceso continuo, que incluya infraestructura, sistemas operativos, lenguajes de programación, bibliotecas, dependencias y aplicaciones.
Conclusión: actualizar es urgente, verificar es indispensable
Las vulnerabilidades de PHP divulgadas durante octubre de 2026 representan un recordatorio de la importancia de mantener actualizada la infraestructura tecnológica.
La disponibilidad de parches es una buena noticia, pero su publicación no significa que todos los servidores estén protegidos.
La protección efectiva depende de que las organizaciones identifiquen sus sistemas afectados, apliquen las correcciones, verifiquen los resultados y mantengan mecanismos de vigilancia.
En ciberseguridad, no basta con que exista una solución: es necesario comprobar que ha sido implementada correctamente.
Fuentes oficiales y referencias
- PHP — Avisos y actualizaciones oficiales de seguridad
- CERT-EU — Critical Vulnerabilities in PHP
- Centro Canadiense de Ciberseguridad — Alerta AL26-026
Información revisada al 27 de octubre de 2026. La explotación confirmada en pruebas no implica que todas las instalaciones vulnerables hayan sido comprometidas.
