Fallos críticos en PHP: actualiza ya

Qué ha pasado

El 21 de octubre de 2026 el proyecto PHP publicó actualizaciones de seguridad para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. En determinadas condiciones, las dos permiten que un atacante ejecute código en un servidor web sin iniciar sesión. El proyecto PHP puntúa ambas con 9,2 sobre 10 en la escala CVSS v4.0.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) las describe en términos sencillos. En la primera, un atacante puede forzar a PHP a quedarse sin memoria, y entonces PHP gestiona mal datos a medio preparar al limpiar tras la petición. En la segunda, información de una petición puede seguir en uso después de liberar su memoria, de modo que una petición posterior atendida por el mismo proceso puede recogerla.

A quién afecta

El NCSC afirma que cualquier versión de PHP puede estar afectada. Pide a las organizaciones con versiones antiguas y sin soporte que pasen a una versión con soporte.

• PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. El proyecto PHP publicó correcciones mínimas para 7.4, 8.0 y 8.1 para quien compila desde el código fuente. En los demás casos, pide una corrección a tu proveedor o actualiza.
• PHP 8.2 llega al final de su vida útil el 31 de diciembre de 2026.
• Muchos productos incluyen PHP. Está atento a las actualizaciones de sus fabricantes.

Qué hacer

1. Averigua dónde se ejecuta PHP. Empieza por los sistemas accesibles desde internet y no limites la búsqueda a las versiones antiguas.
2. Actualiza a una versión corregida: 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
3. Aplica las medidas de refuerzo adicionales que publicó el equipo de PHP. Reducen la exposición, pero no hacen segura una instalación. La actualización es la solución completa.
4. Si no puedes actualizar ni aplicar esas medidas con rapidez, el NCSC sugiere valorar dejar el sistema fuera de línea.
5. Si no puedes actualizar o desactivar un sistema de inmediato, revísalo por si hay señales de intrusión y puertas traseras, con ayuda de un proveedor de respuesta a incidentes si hace falta.

Si construyes con herramientas de IA

Consejo nuestro, no procede de las fuentes: si una herramienta de IA o una plantilla generó tu web o tu back end, comprueba sobre qué funciona. Tu panel de hosting o tu desarrollador pueden decirte si interviene PHP y en qué versión. Si no lo tienes claro, pregunta y guarda la respuesta.