PHP ha publicado actualizaciones de seguridad urgentes para dos vulnerabilidades críticas que pueden permitir la ejecución remota de código en servidores web vulnerables. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, afectarían, según los informes, a una amplia gama de instalaciones de PHP.
Los administradores deben actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama que utilicen. Ubuntu también ha distribuido paquetes actualizados de PHP.
El informe de KrebsOnSecurity describe ambas vulnerabilidades como de día cero y afirma que los expertos han observado exploits funcionales y ataques reales. Cloudflare informó por separado de la detección de cierta explotación y dijo que desplegó reglas de firewall de aplicaciones web a las 3:02 UTC.
Cómo funcionan las dos vulnerabilidades de PHP
Ambos errores implican un manejo inseguro de la memoria entre contextos de procesamiento de solicitudes de PHP, pero llegan a esa condición por mecanismos distintos.
En el caso de CVE-2026-109618, PHP usa longjmp() para salir del contexto actual cuando se produce un error de falta de memoria y abortar la solicitud. En algunos contextos, el software puede realizar después una asignación mientras la memoria de la solicitud sigue sin inicializar. El código de limpieza puede entonces leer esa memoria o tomar decisiones sobre el flujo de control basándose en su contenido. Según la descripción de la NVD, varias estrategias de gestión de falta de memoria pueden llegar de forma fiable a esta condición y dar lugar a la ejecución remota de código.
CVE-2026-109619 se refiere a un estado global de PHP que apunta temporalmente a memoria perteneciente a una solicitud. Es posible que ese estado no se restablezca correctamente o que se vuelva a poblar después de un restablecimiento. Por tanto, puede seguir haciendo referencia a memoria de la solicitud después de que dicha memoria haya sido liberada. Una solicitud posterior podría leer ese estado obsoleto o ramificarse según él antes de que la inicialización haya terminado, lo que vuelve a crear una vía hacia la ejecución remota de código.
Ambas vulnerabilidades están asociadas a las clasificaciones CWE-416, CWE-755, CWE-824 y CWE-1325, que abarcan el uso tras liberación de memoria, el manejo inadecuado de condiciones excepcionales, el acceso a punteros no inicializados y el control inadecuado de la asignación secuencial de memoria.
Un alcance amplio, pero descrito de forma distinta
El informe indica que se ven afectados los servidores web que ejecutan PHP 5.4 o posterior. Wiz, una de las organizaciones a las que se atribuye el descubrimiento de los fallos, afirma que todas las versiones de PHP publicadas en la última década son vulnerables a al menos una de las dos fallas.
El mismo informe señala que casi el 70 % de los sitios web necesitan actualizar su software base, aunque no identifica la fuente de esa estimación. Este porcentaje se refiere a sitios web, no a un recuento de servidores, clientes, cuentas o personas afectadas.
PHP se utiliza ampliamente en sitios web construidos con Drupal, Magento, Joomla y WordPress. Esto no significa que las vulnerabilidades residan en esas plataformas de gestión de contenidos o comercio: los defectos señalados están en el entorno de ejecución subyacente de PHP.
La explotación podría derivar en la toma de control de servidores y la exposición de datos
Cloudflare citó la denegación de servicio, la ejecución remota de código y la exposición de datos entre las posibles consecuencias. Sus reglas WAF pueden ayudar a bloquear el tráfico de ataque reconocido, pero no sustituyen la instalación de los paquetes de PHP corregidos.
Wiz prevé que los atacantes busquen una explotación a gran escala y desplieguen web shells. Una web shell daría a un intruso un mecanismo accesible desde el navegador para ejecutar comandos y mantener el control remoto de un sitio comprometido. Se trata de la valoración de Wiz sobre el comportamiento probable de los atacantes, no de una prueba de que cada intento observado haya instalado una herramienta de este tipo.
Reuters, citado por KrebsOnSecurity, informó de que los sitios web gubernamentales en Europa y otras regiones dejaron de estar disponibles tras la divulgación de las vulnerabilidades. El reportaje no estableció que los fallos de PHP causaran esas interrupciones.
Wiz y OpenAI describen la investigación de exploits asistida por IA
Wiz afirmó que demostrar la explotabilidad requería una «cadena de pasos excepcionalmente compleja». La empresa sostiene que los modelos de IA de frontera redujeron sustancialmente esa barrera técnica.
Según los informes, OpenAI participó en la investigación de vulnerabilidades y en la comunicación con los responsables, mientras que Wiz indicó que se coordinó con el equipo de PHP y con OpenAI antes de la divulgación pública para evaluar el alcance potencial, verificar los parches y preparar la publicación. La contribución que se atribuye a los modelos de IA sigue siendo una afirmación de las organizaciones implicadas, no una capacidad demostrada de forma independiente.
OpenAI calificó el conjunto como «uno de los problemas de seguridad con mayor impacto en tiempos recientes», citando tanto su gravedad como el amplio despliegue de PHP. Wiz comparó el posible reto de remediación con Log4Shell y dijo que los defectos de PHP llevaban décadas presentes.
Qué deben hacer los administradores de PHP
Los operadores deben identificar la versión de PHP que se ejecuta en los servidores expuestos a Internet y en los internos, incluidas las instalaciones suministradas a través de paneles de hosting, contenedores, dispositivos y repositorios del sistema operativo. Las versiones corregidas disponibles son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Los usuarios de Ubuntu deben aplicar los paquetes de PHP actualizados que distribuye su sistema. Las organizaciones que usan Cloudflare pueden beneficiarse de las protecciones WAF desplegadas recientemente, pero aun así deben parchear el propio entorno de ejecución.
Dado que se ha informado de explotación, los sistemas PHP expuestos deben priorizarse y no dejarse para un ciclo de mantenimiento rutinario. Tras la actualización, los administradores deben revisar la actividad del servidor en busca de archivos inesperados accesibles desde la web, ejecución de comandos no explicada, procesos hijos inusuales y cambios no autorizados que puedan indicar una web shell o un compromiso anterior.
