'/%3E%3Cpath%20fill='%23b2b2b2'%20d='M241%20382q0%2016%2017%2026%2017%2011%2042%2011t42-11q16-11%2017-26V269H241'/%3E%3Cpath%20fill='%239f7e00'%20d='M241%20379q0%2014%208%2023%209%209%2021%209%2014%200%2021-9%209-9%209-23V269h-59'/%3E%3Cpath%20d='M241%20339v-70h59v110q0%2014-9%2023l-6%205v-68h-15v72q-8%200-14-4v-68zm59%2040c0%2022%2015%2032%2029%2032%2021%200%2030-18%2030-32v-40h-59'/%3E%3Cpath%20fill='%239f7e00'%20d='M266%20277v5h2v12h-3v-5h2v-5h-9v5h2v5h-4v9h3v18h-5v10h34v-10h-5v-18h3v-9h-4v-5h2v-5h-9v5h2v5h-3v-12h2v-5zm42%20101q0%2010%206%2017%206%206%2015%207%2010-1%2016-7%206-7%206-17v-29h-43'/%3E%3Ccircle%20fill='%230044ad'%20cx='329.5'%20cy='372'%20r='6'/%3E%3Cellipse%20fill='%230044ad'%20cx='300'%20cy='340'%20rx='16'%20ry='21'/%3E%3C/svg%3E){kind=small}
'/%3E%3C/svg%3E){kind=small}
El 21 de octubre de 2026 el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código en el servidor sin necesidad de credenciales. Afecta a cualquier empresa que tenga una web, una tienda online, una intranet o una aplicación hecha en PHP, WordPress incluido. El aviso oficial pide a todos los usuarios actualizar de inmediato, e INCIBE-CERT actualizó su alerta ese mismo día.
Qué se ha corregido
Son dos fallos distintos en el propio intérprete, no en una aplicación concreta:
- CVE-2026-109618: cuando PHP se queda sin memoria a mitad de una petición, parte de sus datos internos quedan a medio inicializar y la limpieza posterior puede tratarlos como válidos. El resultado es una corrupción de memoria que puede acabar en ejecución remota de código.
- CVE-2026-109619: el estado interno de una petición sobrevive después de liberar su memoria y una petición posterior atendida por el mismo proceso puede reutilizarlo. Además de la ejecución de código, PHP confirma un impacto de divulgación de memoria: según los investigadores, se podrían leer contraseñas, tokens, claves API o certificados de otras peticiones.
PHP puntúa ambos fallos con un 9,2 sobre 10 (CVSS v4.0) y el NVD estadounidense con un 9,8 (CVSS v3.1). Afectan a las formas habituales de servir PHP: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto, según PHP, está en mod_php.
Versiones corregidas y ramas sin soporte
| Rama | Versión que corrige el fallo | Observaciones |
|---|---|---|
| PHP 8.5 | 8.5.12 | En 8.5 hay una ruta adicional relacionada con las trazas de errores fatales. |
| PHP 8.4 | 8.4.27 | — |
| PHP 8.3 | 8.3.36 | — |
| PHP 8.2 | 8.2.35 | Llega a su fin de vida el 31/12/2026. |
| PHP 8.1, 8.0 y 7.4 | Sin versión oficial | PHP ha publicado parches en código fuente, que no son versiones oficiales. Las distribuciones y proveedores LTS pueden ofrecer los suyos. |
Si usas los paquetes de tu distribución Linux, PHP indica que los distribuidores recibieron las correcciones con antelación: comprueba que el paquete instalado las incluye. Según el aviso de INCIBE que recoge Moncloa.com, el repositorio Remi no iba a tener los parches el mismo día.
¿Se está explotando ya?
Las fuentes no coinciden. Amazon registró un intento el 17 de octubre, cuatro días antes de la publicación, y varios proveedores de seguridad ven sondeos y tráfico de ataque. CISA publicó el 21 de octubre una alerta pidiendo parchear de inmediato, aunque no había observado explotación y las CVE no están en su catálogo de vulnerabilidades explotadas. Según CERT-EU, circulan pruebas de concepto. Con este panorama, lo prudente es tratarlo como urgente.
Lista de comprobación para tu empresa
- Haz inventario. Webs corporativas, tiendas online, intranets, paneles de hosting, contenedores y appliances que lleven PHP dentro.
- Comprueba la versión que se ejecuta de verdad. La que muestra el panel del hosting o la página de diagnóstico de la aplicación. Ojo: la versión de línea de comandos y la que atiende la web pueden no ser la misma.
- Actualiza PHP, no solo la aplicación. Actualizar WordPress, sus plugins o tu aplicación no corrige un fallo del intérprete.
- Reinicia los servicios. Apache, PHP-FPM y cualquier proceso de larga duración deben reiniciarse para cargar la versión corregida.
- Si estás en un hosting compartido, pregunta a tu proveedor si ya ha aplicado las versiones corregidas.
- Revisa los registros desde el 17 de octubre. Señales a investigar: cookies de sesión anormalmente grandes, errores de límite de memoria o HTTP 500 repetidos, caídas inexplicables de procesos o procesos de PHP que lanzan comandos o descargan herramientas.
Si no puedes actualizar hoy
Hay mitigaciones temporales que reducen la exposición, pero PHP insiste en que no hacen la instalación segura:
- Para CVE-2026-109618: fijar
memory_limit=-1de forma administrativa (un valor como 128M no desactiva el fallo, y -1 puede aumentar el consumo de memoria), reducirpost_max_sizey limitar el tamaño de las peticiones en el servidor web o el proxy. - Para CVE-2026-109619: poner
session.upload_progress.enabled=0en php.ini o en el pool de FPM (no conini_set()ni.user.ini) y, en PHP 8.5, tambiénfatal_error_backtraces=0. Después, reiniciar todos los procesos. - Ocultar los errores no sirve de nada. Si el sistema está expuesto a Internet y no se puede actualizar, lo más seguro es aislarlo. Un WAF ayuda solo de forma parcial.
Cómo lo vemos en Binovo
En empresas de Gipuzkoa y del resto de Euskadi es habitual encontrar aplicaciones PHP hechas hace años que funcionan bien y que nadie se atreve a tocar: un portal de clientes, una herramienta interna, una web con un tema a medida. Muchas siguen en PHP 7.4, 8.0 u 8.1. Este aviso deja claro el problema: para esas versiones no hay versión oficial corregida, solo parches en código fuente que alguien tiene que compilar y probar.
Nuestra recomendación es separar dos trabajos. El urgente, esta misma semana: actualizar o aislar, reiniciar y revisar registros. Y el que conviene planificar: llevar las aplicaciones heredadas a una rama con soporte por delante. PHP 8.2 termina su vida a finales de 2026, así que no tiene sentido migrar a ella. Es la misma filosofía que aplicamos con Odoo: versiones estables y con soporte, sin seguir la moda de la última versión, pero sin quedarse en una que ya no recibe parches.
Si necesitas ayuda para revisar tus servidores, en nuestro servicio de administración de sistemas nos encargamos del parcheo y el mantenimiento, y desde desarrollo de software podemos modernizar aplicaciones atadas a versiones antiguas. Si ya eres cliente, escríbenos por el canal de soporte. Y si no sabes por dónde empezar, cuéntanos tu caso.
Fuentes
- PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21/10/2026)
- Moncloa.com: INCIBE-CERT actualiza la alerta por vulnerabilidades PHP en las ramas 8.2 a 8.5 que afectan a servidores web (21/10/2026)
- Rescana: Two Critical PHP Vulnerabilities Fixed in PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35: Patch and Restart Now (21–22/10/2026)
Transparencia: este artículo se ha elaborado con ayuda de inteligencia artificial a partir de las fuentes citadas y ha sido revisado y validado por el equipo de Binovo antes de publicarse.
