Michael JohnsonEl 21 de octubre de 2026, PHP anunció dos vulnerabilidades críticas que podrían permitir la ejecución remota de código sin autenticación. Ese mismo día, el proyecto publicó correcciones para las ramas 8.5, 8.4, 8.3 y 8.2 y recomendó a los usuarios actualizar cuanto antes. Podrían estar expuestas las instalaciones que atienden solicitudes web, incluidas PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed, según informó PHP.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Estas versiones corrigen CVE-2026-109618, relacionada con la corrupción del estado cuando falta memoria, y CVE-2026-109619, un error por el que el estado de una solicitud podía persistir en un proceso de trabajo y utilizarse al procesar la siguiente. Las versiones anteriores a las indicadas están afectadas; el proyecto ya no publica actualizaciones propias para PHP 8.1 ni para ramas anteriores, por lo que los administradores de esos sistemas deberían comprobar si el proveedor de la distribución o del soporte LTS ofrece correcciones.
Dos errores en el ciclo de vida de las solicitudes web
En el caso de CVE-2026-109618, el procesamiento de una solicitud puede interrumpirse por falta de memoria antes de que los datos internos se hayan inicializado por completo. Al finalizar, PHP podría acceder entonces a un estado no válido. En su aviso de seguridad, los desarrolladores describen, entre otros, escenarios con solicitudes multipart y agotamiento del límite de memoria. En Apache mod_php se ha confirmado un escenario en el que el problema aparece antes incluso de que se ejecute el código de la aplicación; PHP también señala que el riesgo es mayor en esta configuración.
CVE-2026-109619 afecta al estado que un proceso de trabajo conserva entre solicitudes. Si una operación falla antes de que se limpien los datos, se libera la memoria de la solicitud anterior, pero queda un puntero que apunta a ella. La siguiente solicitud que llegue al mismo proceso podría acceder a ese estado obsoleto antes de la inicialización habitual. En el aviso del proyecto, PHP describe rutas confirmadas a través de operaciones de diagnóstico tempranas y del procesamiento del progreso de carga de archivos; que una ruta concreta sea aplicable depende de la configuración, la aplicación y las extensiones utilizadas.
Ambas vulnerabilidades recibieron una puntuación de 9,2 en CVSS 4.0. Según PHP, el impacto confirmado incluye la ejecución de código con los privilegios del proceso de trabajo web. Para el error relacionado con la falta de memoria, el aviso confirma un escenario HTTP completo contra mod_php; para PHP-FPM, la fuente describe el análisis del código y las condiciones de vulnerabilidad, por lo que es importante distinguir estos datos al evaluar una implementación concreta.
Qué deben comprobar los administradores
En primer lugar, identifique las versiones de PHP que realmente atienden el tráfico web: un mismo servidor puede ejecutar compilaciones independientes para CLI, FPM y Apache, y los contenedores y nodos del clúster se actualizan por separado. Instale la versión corregida correspondiente en cada rama compatible o un paquete del proveedor que incluya el parche confirmado. Después, reinicie todos los procesos de trabajo de PHP y compruebe su versión tras el reinicio: sustituir los archivos sin reiniciar deja activos los procesos antiguos.
Para PHP 8.1 y versiones anteriores, compruebe el estado del soporte y si la distribución o el proveedor de LTS ofrece una corrección retroportada. Si no hay un paquete de ese tipo, planifique la migración a una rama compatible. PHP indica que los proveedores de distribuciones Linux recibieron los parches con antelación; el número de versión de sus paquetes puede diferir del lanzamiento oficial de PHP, así que consulte la información específica sobre la inclusión de la corrección.
Las opciones temporales de configuración y el filtrado de solicitudes pueden limitar algunas vías de ataque, pero el proyecto considera que la actualización es la única forma completa de eliminar ambos problemas. La prioridad práctica para los equipos es inventariar todos los procesos de trabajo web, instalar el paquete corregido, reiniciar los procesos y verificar el resultado en cada nodo. Esto es lo que corrige las vulnerabilidades confirmadas, en lugar de confiar únicamente en la configuración del servidor web.