CVE-2026-109618 y CVE-2026-109619: dos fallas críticas en PHP
Dos fallos críticos le permiten atacar servidores PHP sin autenticación. Descubra las versiones, correcciones y ayuda de XemmeX.
Dos vulnerabilidades críticas descubiertas en el núcleo de PHP pueden permitir que un atacante no identificado ejecute código remoto en un servidor web. Identificado bajo referencias CVE-2026-109618 y CVE-2026-109619, cada uno recibió una puntuación de 9.2 de 10 según CVSS 4.0.
El proyecto PHP emitió correcciones de emergencia el 21 de octubre de 2026 y recomendó una actualización inmediata. His [official notice] (https://www.php.net/archive/2026.php) is unambiguous: no circumvention measures fully protect a vulnerable system. Actualizar PHP sigue siendo la única solución completa.
Why these flaws are particularly serious
Una vulnerabilidad de ejecución remota de códigos, o NCE, puede permitir que un atacante ejecute sus propias instrucciones a través del proceso PHP. El acceso obtenido corresponde primero a los privilegios de la cuenta utilizado por el servidor web, pero puede ser suficiente para ver o editar archivos, robar identificadores, inyectar una puerta trasera, desviar un sitio, enviar spam o instalar un criptominador.
El ataque no requiere cuenta de usuario ni acceso previo al panel de administración. El riesgo se refiere a las instalaciones PHP que manejan consultas web, incluyendo PHP-FPM, Apache con mod php, php-cgi, FrankenPHP y LiteSpeed. En la actualidad, el proyecto PHP considera que el riesgo es particularmente alto con mod php, por lo que la explotación se demostró incluso antes de que se ejecutara el código de aplicación.
CVE-2026-109618: corrupción durante la pérdida de memoria
PHP utiliza un mecanismo llamado longjmp() para interrumpir ciertos tratamientos cuando se agota la memoria disponible para una consulta. En determinadas circunstancias, esta interrupción puede ocurrir mientras que los datos internos sólo se inicializan parcialmente. El procedimiento para cerrar la solicitud puede tratar la memoria inválida como si fuera legítima.
According to [official technical opinion] (https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w), especially built multipart queries can cause this state. Varias técnicas le permiten consumir mucho más memoria a PHP que el tamaño aparente de la consulta sugiere, incluyendo un gran número de cabeceras, campos anidados o metadatos de carga.
Investigadores validaron la ejecución de código remoto sin autenticación contra Apache mod php. PHP-FPM reduce algunos caminos de ataque porque un proceso infantil se puede interrumpir después de un fallo de inicio, pero no se declara inmune: los escenarios relacionados con la aplicación siguen siendo posibles.
CVE-2026-109619: un estado interno reutilizado entre dos consultas
El segundo defecto se refiere a datos internos que pueden sobrevivir a la solicitud que los creó, incluso después de la liberación de la memoria correspondiente. Si el mismo proceso de PHP procesa otra consulta, puede reutilizar este puntero anticuado antes de que su estado normal sea reajustado adecuadamente. Es una forma de uso de memoria post-release, comúnmente conocido como "uso-después-libre".
En particular, describe caminos que implican el seguimiento del progreso de las subidas de sesión, errores fatales y ciertos diagnósticos de configuración. El funcionamiento completo requiere varias condiciones y puede depender de la versión, extensiones y configuración. Sin embargo, esto no hace el defecto teórico: las cadenas operativas se han demostrado en aplicaciones comunes.
¿Qué versiones deben ser corregidas?
Las versiones corregidas publicadas por el proyecto PHP son las siguientes:
- PHP Branch - Versión mínima corregida
PHP 8.5 PHP 8.4 PHP 8.3 PHP 8.2 No hay nueva versión oficial de la rama; migración o corrección retroactiva del proveedor requerido
Las versiones confirmadas son de PHP 5.4 a PHP 8.5.11. Algunas distribuciones de Linux, incluyendo AlmaLinux, Red Hat, Debian y Ubuntu, pueden integrar el parche en sus propios paquetes sin adoptar el mismo número de versión que PHP.net. En este caso, php -v no siempre es suficiente: también debe comprobar la versión del paquete, su libro de registros y el aviso de seguridad del proveedor.
PHP 8.1 y ramas anteriores llegaron al final de sus vidas con el proyecto PHP. Algunos distribuidores ofrecen un parche excepcionalmente atrasado, pero esto no convierte una vieja rama en una solución duradera. Debe planificarse una migración a una versión todavía compatible.
Update CMS no corrige PHP
WordPress, Drupal, Joomla, Laravel, Symfony, Magento y aplicaciones personalizadas dependen de PHP, pero no lo sustituyan. Actualizar el sitio, sus extensiones o sus dependencias de Composer normalmente no actualiza el intérprete instalado en el servidor.
La intervención debe cubrir todas las versiones presentes. Un servidor cPanel o WHM puede albergar varias ramas PHP en paralelo; el comando ejecutado en el terminal puede por lo tanto mostrar una versión diferente a la utilizada por un dominio. Los procesos PHP-FPM, Apache o LiteSpeed también deben ser reiniciados después de que se instalen los parches para que ningún viejo proceso vulnerable permanezca en la memoria.
El parche debe ser seguido por un cheque de compromiso
Instalar la actualización cierra la falla, pero no borra acciones que podrían haberse hecho antes. Cuando el servidor fue expuesto, es prudente examinar registros Web y PHP, errores de memoria repetidos, respuestas inusuales HTTP 500, subidas sospechosas de varias partes, nuevos archivos ejecutables, tareas planificadas, cuentas creadas y procesos desconocidos.
La presencia de una solicitud sospechosa no prueba automáticamente un compromiso. Por el contrario, la falta de alerta en el registro de aplicaciones no es suficiente para concluir que el sistema es saludable, ya que las vulnerabilidades actúan en el motor PHP y a veces antes de que la aplicación comience normalmente.
How XemmeX Technologies can help you
XemmeX Technologies puede intervenir directamente en su entorno, ya sea un servidor interno, alojamiento cPanel/WHM, un servidor VPS en OVHcloud o una infraestructura alojada con otro proveedor.
La intervención puede incluir:
- inventario de versiones de PHP utilizadas por cada sitio y servicio;
- verificación del sistema operativo, los depósitos y los paquetes atrasados;
- respaldo previo y evaluación de la compatibilidad de las aplicaciones;
- la instalación de versiones corregidas o la migración de una rama de fin de vida;
- el reinicio controlado de PHP-FPM, Apache o LiteSpeed;
- validación de cada sitio después de la intervención;
- el examen de periódicos e indicadores que puedan revelar un intento de explotación o compromiso;
- fortalecer la configuración y proporcionar un informe técnico.
Para que su servidor sea revisado o corregido:
Email: support@xemex.ca Phone: 418 208-7616 Solicitud de cotización: [Obtener una evaluación de XemmeX Technologies](https://xemmex.ca/forms/quote/38037a3957f829e32e7d205073086e36?styled=1 coexistwith logo=1)
Conclusión
CVE-2026-109618 y CVE-2026-109619 tocan la capa que ejecuta toda la aplicación web. Su seriedad, falta de autenticación y disponibilidad pública de información técnica requieren una respuesta rápida.
El enfoque correcto es el inventario de todas las instancias de PHP, aplicar correcciones de proveedores, servicios de reiniciamiento, validar aplicaciones y verificar que ningún compromiso previo ha pasado desapercibido.