PHP presenta dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619), ambas con puntuación CVSS v4.0 de 9.2, que permiten a atacantes no autenticados ejecutar código de forma remota en servidores que procesan peticiones web. La explotación no requiere credenciales previas ni interacción del usuario, y PHP indica que el riesgo es mayor con Apache mod_php, donde existe un exploit funcional. Un compromiso exitoso podría resultar en impacto total sobre la confidencialidad, integridad y disponibilidad del sistema afectado.
CVE y Severidad
| CVE | Severidad | Descripción |
|---|---|---|
| CVE-2026-109618 | Crítica (CVSS v4.0: 9.2) | Corrupción de memoria al manejar condiciones de falta de memoria (OOM), alcanzable mediante peticiones multipart, que permite la ejecución remota de código sin autenticación. |
| CVE-2026-109619 | Crítica (CVSS v4.0: 9.2) | Uso de memoria liberada (use-after-free) por estado global que no se restablece entre peticiones, que permite la ejecución remota de código. |
Productos afectados
| Fabricante | Producto | Componente |
|---|---|---|
|
The PHP Group |
PHP (versiones anteriores a 8.5.12, 8.4.27, 8.3.36 y 8.2.35) |
Núcleo: gestión de memoria, procesamiento multipart y estado global |
Solución
PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen ambas vulnerabilidades; se recomienda aplicar la actualización de inmediato. Las ramas 8.1, 8.0 y 7.x no cuentan con una versión oficial corregida; PHP publicó parches de código fuente para 7.4, 8.0 y 8.1 y algunas distribuciones portan la corrección a versiones antiguas.
Recomendaciones
Actualice PHP en todos los servidores, priorizando los expuestos a Internet, y reinicie todos los procesos que lo ejecutan (en Apache con mod_php, un reinicio completo). Si no puede actualizar de inmediato, en PHP 8.5 configure fatal_error_backtraces=0 y, si la aplicación no usa formularios multipart, bloquee esas peticiones en el frontend. Estas medidas no sustituyen al parche. Monitoree los registros en busca de procesos de PHP o del servidor web que lancen shells, intérpretes o herramientas de descarga.