Laburpen exekutiboa
Los primeros indicios del problema de memoria se identificaron durante una auditoría de PHP en 2024, pero las vías concretas de ejecución remota de código no se confirmaron hasta agosto de 2026, cuando varios equipos las comunicaron al proyecto. El primer intento de explotación registrado por telemetría se remonta al 17 de octubre, cuatro días antes de la divulgación pública y de las correcciones. El 20 de octubre, la difusión anticipada de los identificadores llevó al proyecto a adelantar un día la publicación.
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, con una valoración CVSS de 9,2, afectan al tratamiento de la memoria y del estado interno entre solicitudes, y pueden permitir que un atacante no autenticado ejecute código con los privilegios del servidor web. El riesgo alcanza a las instalaciones de PHP que procesan solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, facilitó correcciones de código para algunas ramas antiguas y señaló que las mitigaciones temporales no sustituyen la actualización.
El último estado oficial indica que ambas vulnerabilidades fueron incorporadas al catálogo de vulnerabilidades explotadas conocidas de CISA el 26 de octubre. Las versiones corregidas continúan siendo la medida principal, mientras que los sistemas que no puedan actualizarse deben aislarse de redes públicas hasta aplicar y verificar la solución.
Erreferentzia Osagarriak
- PHP warns admins of two critical flaws, emergency patches coming tomorrow
- Security advisory: Critical remote code execution vulnerabilities, update now
- Today's PHP Security Release, and How We're Strengthening PHP Security
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
- Joint statement on critical PHP vulnerabilities
- Alerta mundial por dos fallos críticos en PHP: qué riesgos afrontan millones de servidores web
- AL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619 - Update 2