- post-php-vulnerabilidad-foro-optimizado.png (144.21 KiB) Visto 40 veces
El aviso oficial de PHP pidió actualizar de inmediato las instalaciones expuestas a peticiones web.
PHP: ¿qué ha pasado y por qué es grave?
Los problemas afectan al funcionamiento interno de PHP. Una explotación exitosa podría permitir ejecutar código con los permisos del proceso que atiende las solicitudes web. Esto explica la urgencia: proteger el acceso al panel de administración no basta para corregir una vulnerabilidad que puede activarse sin iniciar sesión.
Sin embargo, tener una versión vulnerable no demuestra que un servidor haya sido comprometido. La exposición y la confirmación de un ataque son cuestiones diferentes.
Las dos vulnerabilidades de PHP
CVE-2026-109618: corrupción relacionada con el agotamiento de memoria
Este fallo está relacionado con la gestión de errores por falta de memoria. En determinadas circunstancias, PHP podía procesar datos internos que no habían terminado de inicializarse, abriendo una vía a la ejecución remota de código.
El equipo documentó una explotación contra Apache con mod_php que podía producirse antes de ejecutar el código de la aplicación. Otros entornos también requieren atención, aunque las condiciones de explotación varían. Los detalles están en el aviso técnico de CVE-2026-109618.
CVE-2026-109619: reutilización de estado interno inválido
La segunda vulnerabilidad está relacionada con un estado interno que podía sobrevivir después de liberarse la memoria que lo respaldaba. Una petición posterior atendida por el mismo proceso podía utilizar ese estado inválido.
Puedes consultar su alcance en el aviso técnico de CVE-2026-109619.
¿Qué versiones de PHP corrigen estos fallos?
Las actualizaciones publicadas el 21 de octubre fueron las siguientes versiones que incluyen el fix correspondiente para corregir las vulnerabilidades expuestas:
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
El aviso incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed entre los entornos que deben revisarse.
Fuente: comunicado oficial.
¿Qué hacer si tu web utiliza PHP?
Como procedimiento de revisión:
- Comprueba la versión que utiliza la web. La versión de la terminal puede ser diferente de la configurada para el sitio.
- Confirma con tu hosting o administrador que los parches están aplicados. Solicita información sobre el paquete instalado y las correcciones incluidas.
- Actualiza el entorno y verifica el servicio. Revisa formularios, sesiones, cargas de archivos y otras funciones importantes después del cambio.
- Si detectas indicios de intrusión, investiga el incidente. Actualizar corrige la vulnerabilidad, pero no elimina por sí solo cambios que un atacante ya haya realizado.
Actualizar un CMS, un framework o las dependencias de la aplicación no equivale a actualizar el intérprete de PHP del servidor.
¿Basta con cambiar la configuración?
Las medidas temporales no sustituyen los parches. El equipo de PHP indicó que reducen determinadas vías de exposición, pero que actualizar es la solución completa para estas vulnerabilidades. Además, el 23 de octubre publicó una recomendación adicional sobre session.upload_progress.enabled, relevante para una combinación específica de configuración y código. Conviene revisar también ese seguimiento en el archivo de avisos oficiales.
¿Esto significa que PHP ha sido hackeado?
La noticia describe vulnerabilidades críticas y la publicación de correcciones. No permite concluir que todas las webs con PHP hayan sufrido un ataque ni que el código de cada aplicación esté comprometido.
Para quienes buscaban qué ha pasado con PHP, la respuesta práctica es esta: hubo una alerta que requiere comprobar el servidor y aplicar las actualizaciones correspondientes.
¿Tu proveedor ya confirmó la instalación de los parches? Compártenos qué entorno utilizas y cómo has verificado la actualización para ayudar a otros miembros del foro.