Actualizado el 21 de octubre de 2026.
PHP corrigió dos vulnerabilidades críticas de ejecución remota de código sin autenticación: CVE-2026-109618 y CVE-2026-109619, calificadas con CVSS 9,2. Si tu servidor utiliza PHP para atender solicitudes web, debés actualizar de inmediato a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama instalada. El equipo oficial de PHP advierte que no existe una mitigación completa: actualizar es la única solución segura.
¿Cuál es la última vulnerabilidad crítica de PHP?
El 21 de octubre de 2026, el proyecto PHP publicó un aviso de seguridad sobre dos fallas críticas capaces de permitir ejecución remota de código (RCE) sin que el atacante tenga una cuenta válida:
- CVE-2026-109618 — RCE mediante corrupción durante una condición de memoria agotada: PHP puede interrumpirse mientras ciertos datos internos de la solicitud todavía están parcialmente inicializados. Durante la limpieza, esos datos inválidos podrían tratarse como válidos.
- CVE-2026-109619 — RCE mediante estado global obsoleto: determinados datos internos asociados a una solicitud pueden permanecer después de que su memoria haya sido liberada. Una solicitud posterior atendida por el mismo proceso podría utilizar ese estado antes de su reinicialización normal.
Ambas vulnerabilidades recibieron una calificación crítica de 9,2 en CVSS v4.0.
¿Qué servidores y sitios están expuestos?
Según el aviso oficial, el riesgo alcanza a instalaciones PHP que procesan solicitudes web, incluidas las que utilizan:
- PHP-FPM;
- Apache con mod_php;
- php-cgi;
- FrankenPHP;
- LiteSpeed.
El riesgo es especialmente alto en mod_php: el equipo de PHP informó sobre un exploit demostrado que puede activarse antes de que comience a ejecutarse el código de la aplicación. Por eso, un sitio aparentemente actualizado a nivel de WordPress, framework o plugins todavía puede estar expuesto si la versión del intérprete PHP del servidor no fue corregida.
¿Qué versiones de PHP solucionan CVE-2026-109618 y CVE-2026-109619?
| Rama de PHP | Versión mínima corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1 y las ramas anteriores ya no reciben mantenimiento directo del proyecto PHP. Algunos proveedores LTS pueden ofrecer correcciones retroportadas, pero conviene verificarlo expresamente con el proveedor o migrar a una versión soportada. PHP 8.2 llegará al final de su vida útil el 31 de diciembre de 2026.
¿Se puede mitigar el riesgo sin actualizar PHP?
No de forma completa. El equipo de PHP indica que actualizar es la única solución segura. Existen configuraciones que pueden reducir rutas específicas de ataque mientras se prepara la actualización, pero no eliminan la vulnerabilidad y no deben considerarse una solución definitiva.
¿Qué debería hacer una empresa ahora?
- Inventariar: identificar la versión de PHP utilizada por cada sitio, aplicación, tarea programada y proceso.
- Confirmar la arquitectura: determinar si el servidor utiliza PHP-FPM, mod_php, CGI, LiteSpeed o FrankenPHP.
- Respaldar: generar copias verificables de archivos, configuración y bases de datos.
- Probar: actualizar primero en un entorno controlado y validar el CMS, framework, tema, plugins, extensiones y conexiones externas.
- Actualizar producción: instalar la versión corregida correspondiente y reiniciar todos los procesos PHP para evitar que queden workers antiguos en memoria.
- Verificar: comprobar la versión activa desde web y consola, revisar registros y controlar la integridad de archivos.
- Monitorear: buscar solicitudes anómalas, errores de memoria, fallos repetidos y cambios no autorizados.
¿TGA Software puede actualizar y revisar mi servidor PHP?
Sí. En TGA Software podemos revisar la versión y configuración de PHP, evaluar la exposición, preparar respaldos, ejecutar la actualización y comprobar que el sitio o la aplicación continúe funcionando correctamente. También podemos revisar registros e integridad de archivos para detectar señales que requieran una investigación adicional.
La asistencia está orientada a sitios WordPress, tiendas online, aplicaciones PHP y servidores administrados. Cada actualización se planifica según el hosting, la versión instalada y las dependencias del sistema.
¿Necesitás saber si tu servidor está afectado? Contactá a TGA Software para solicitar una revisión y resolver estas vulnerabilidades.
Preguntas frecuentes
Las fallas están en PHP, no en WordPress. Sin embargo, un sitio WordPress puede estar expuesto si funciona sobre una versión vulnerable de PHP, aunque el núcleo, el tema y los plugins estén actualizados.
La versión puede consultarse desde el panel del hosting, la herramienta de salud del CMS, la consola del servidor o mediante una revisión técnica. Es importante confirmar la versión que atiende las solicitudes web.
No. El reinicio es necesario después de instalar la actualización, pero reiniciar sin actualizar no corrige el código vulnerable.
No garantiza una protección completa. Puede bloquear ciertos patrones y reducir exposición, pero no reemplaza la instalación de una versión corregida de PHP.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para ramas anteriores debe verificarse si el proveedor LTS ofrece un parche o planificar una migración.
Fuente principal: Security advisory: Critical remote code execution vulnerabilities, update now — PHP.net, 21 de octubre de 2026. Información contrastada con la página oficial de versiones soportadas de PHP. Este artículo es informativo; el procedimiento debe adaptarse a la infraestructura y dependencias de cada sistema.