¿Qué está pasando?
Dos vulnerabilidades críticas de ejecución remota de código (RCE) en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619 , divulgadas públicamente el 21 de octubre de 2026 permiten a un atacante ejecutar código arbitrario en servidores que ejecutan PHP, lo que podría comprometer completamente el sistema afectado. Dado que PHP impulsa una parte significativa de la web, incluyendo WordPress, Drupal, Laravel y aplicaciones personalizadas, estén al tanto.
Dos vulnerabilidades críticas de ejecución remota de código (RCE) en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619 , divulgadas públicamente el 21 de octubre de 2026 permiten a un atacante ejecutar código arbitrario en servidores que ejecutan PHP, lo que podría comprometer completamente el sistema afectado. Dado que PHP impulsa una parte significativa de la web, incluyendo WordPress, Drupal, Laravel y aplicaciones personalizadas, estén al tanto.
¿Quiénes se ven afectados?
Estas vulnerabilidades afectan a todas las versiones de PHP a partir de la versión 5. Si utiliza PHP en cualquier parte de su infraestructura, debe considerarse potencialmente afectado hasta que se aplique el parche.
Estas vulnerabilidades afectan a todas las versiones de PHP a partir de la versión 5. Si utiliza PHP en cualquier parte de su infraestructura, debe considerarse potencialmente afectado hasta que se aplique el parche.
Las versiones parcheadas de PHP son:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Es importante destacar que los parches solo están disponibles para las versiones de PHP compatibles actualmente (8.2 y posteriores) . Si utiliza una versión de PHP obsoleta (8.1 o anterior), no habrá ningún parche oficial disponible y deberá planificar una actualización inmediata a una versión compatible.
Qué debes hacer ahora
- Haz un inventario de todos los sistemas que ejecutan PHP en tu infraestructura, incluidas las instalaciones integradas que quizás no consideres "servidores PHP" (instancias de WordPress y otros CMS, paneles de administración, aplicaciones heredadas).
- Aplique el parche de inmediato . Hay parches disponibles para PHP . Si utiliza software como WordPress, Laravel u otras herramientas desarrolladas con PHP, es posible que necesite parches específicos directamente de sus proveedores. Actualizar PHP a una versión parcheada es la única opción segura; no existen soluciones definitivas y hay código de prueba de concepto disponible públicamente.
- Si utiliza PHP 8.1 o una versión anterior, actualice a PHP 8.2 o superior para poder aplicar el parche. Las versiones que han llegado al final de su ciclo de vida no recibirán parches.
- Si no puede actualizar de inmediato , la Fundación PHP ha proporcionado medidas que puede tomar para reducir la exposición a ciertas vulnerabilidades. Esto no garantiza la seguridad de su instalación de PHP, por lo que debe planificar la actualización lo antes posible.
- Reduzca la exposición mientras sea posible : restrinja el acceso público a las aplicaciones PHP que no necesiten estar conectadas a Internet y asegúrese de que existan reglas y sistemas de monitoreo para firewalls/WAF.
Por favor, tome medidas inmediatas para proteger su entorno.