Ya están disponibles los parches de seguridad para PHP
El equipo de PHP acaba de lanzar actualizaciones de emergencia para corregir dos vulnerabilidades críticas que permiten la ejecución remota de código sin necesidad de autenticación.
Las versiones que tienes que instalar son: 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
Los dos fallos en cuestión son:
CVE-2026-109618: Un problema en la gestión de memoria que puede corromper datos internos del sistema y abrir la puerta a la ejecución de código malicioso.
CVE-2026-109619: PHP puede acceder a zonas de memoria que ya han sido liberadas, lo que permite a un atacante aprovechar ese estado inestable para ejecutar código arbitrario.
¿Quién está expuesto? Cualquier servidor que use PHP-FPM, Apache con mod_php, LiteSpeed o php-cgi, entre otros. Ya se ha podido demostrar un exploit funcional contra Apache con mod_php que opera sin autenticación y antes incluso de que tu aplicación llegue a ejecutarse. Una barbaridad.
Si todavía estás en una versión antigua, ten en cuenta que PHP 8.1 y versiones anteriores ya no cuentan con soporte oficial. Sin embargo, dada la gravedad del asunto, se han publicado parches excepcionales para PHP 7.4, 8.0 y 8.1. Además, varios proveedores de distribuciones Linux también sacarán sus propios parches. Atentos a eso.
Importante: Los propios desarrolladores de PHP advierten que las soluciones temporales no resuelven el problema por completo. No te fíes de tocar un par de opciones de configuración y darlo por solucionado. La única forma de cerrar esto del todo es actualizar.
Toda la información oficial está disponible en el anuncio oficial de PHP sobre estas vulnerabilidades.
Vulnerabilidades críticas RCE en PHP: parches de emergencia disponibles para CVE-2026-109618 y CVE-2026-109619
Resumen técnico
PHP ha publicado parches de seguridad urgentes para dos vulnerabilidades de ejecución remota de código sin autenticación. Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. CVE-2026-109618 implica corrupción de memoria que permite inyectar código malicioso. CVE-2026-109619 es un fallo de use-after-free que permite explotar memoria ya liberada. Afecta a entornos con PHP-FPM, Apache mod_php, LiteSpeed y php-cgi. Se han publicado parches excepcionales también para PHP 7.4, 8.0 y 8.1, versiones sin soporte oficial, dada la criticidad del problema.
Análisis de implicaciones
El vector de ataque más grave es el demostrado contra Apache con mod_php: el exploit se ejecuta antes de que arranque el código de la aplicación, lo que invalida cualquier capa de seguridad implementada a nivel de aplicación. Las mitigaciones a nivel de configuración son insuficientes según el propio equipo de PHP. Esto convierte la actualización en el único vector de remediación válido. Los equipos de operaciones deben priorizar este despliegue por encima de cualquier ciclo de mantenimiento habitual y revisar si sus distribuciones Linux han publicado ya sus propios paquetes parcheados.
Aplicación práctica
El proceso inmediato: verificar la versión activa con php -v en cada servidor, actualizar al binario correspondiente mediante el gestor de paquetes del sistema (apt, yum, dnf) o compilando desde fuente si se usa una instalación personalizada. En entornos con PHP-FPM, reiniciar el servicio tras la actualización. En contenedores Docker, actualizar la imagen base y redesplegar. Validar que no quedan procesos del intérprete antiguo en ejecución con ps aux | grep php. No asumir que un WAF o proxy inverso mitiga completamente la exposición.
Contexto del sector
PHP sigue ejecutándose en más del 75% de los servidores web con lenguaje de servidor conocido, lo que convierte vulnerabilidades de este calibre en un riesgo masivo e inmediato. Los fallos de tipo use-after-free y corrupción de memoria son cada vez más frecuentes en runtimes de lenguajes interpretados. La decisión de publicar parches para versiones end-of-life como 7.4 refleja la severidad real del impacto estimado en infraestructura productiva global.
