PHP publica parches de emergencia para dos fallos críticos de ejecución remota de código
En breve
El equipo de desarrollo de PHP publicó el 21 de octubre actualizaciones de seguridad de emergencia para dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, cada una con una puntuación de 9,2 en la escala CVSS 4.0. Tencent Cloud afirmó que permiten la ejecución remota de código sin autenticación, y algunos sitios web gubernamentales de Europa se desconectaron antes del parche.
Leer la noticia completa 3 min de lectura
El equipo de desarrollo de PHP publicó el 21 de octubre actualizaciones de seguridad de emergencia para corregir dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619. El equipo había anunciado la publicación para las 14:00 UTC, o las 22:00 hora de Pekín, y cnBeta informó a las 22:36 de que la actualización ya había salido. Huxiu informó de que las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. [ 3 , 8 , 12 ]
IT Home dijo que el equipo de PHP anunció el plan el 20 de octubre, y que ambos fallos tienen una puntuación de 9,2 según CVSS v4.0. La empresa de seguridad watchTowr confirmó que son fallos de ejecución remota de código de día cero. La publicación estaba prevista originalmente para el 22 de octubre, y el equipo dijo que podría adelantarse si los detalles se hacían públicos o aparecía explotación. El 20 de octubre, una publicación en Hacker News dijo que dos fallos que afectan a PHP 5 y posteriores estaban a punto de hacerse públicos, y después se difundieron capturas de pantalla en X y Mastodon. La propia declaración de PHP, recogida por CLS, dijo que los números CVE empezaron a circular en foros en línea y redes sociales alrededor de las 15:00 UTC de ese día. [ 3 , 4 , 9 , 12 ]
El centro de seguridad de Tencent Cloud, en un aviso recogido por CLS y Jiemian, llamó «php2shell» a los fallos. Afirmó que un atacante remoto sin autenticación podía enviar una solicitud POST multiparte manipulada para provocar corrupción de memoria y ejecución remota de código, lo que podría dar control total de un servidor. Recomendó a los clientes revisar sus sistemas y actualizar. [ 10 , 11 ]
Agencias extranjeras pidieron prepararse. Según IT Home, citando a Reuters, CERT-EU dijo que la puntuación de 9,2 indica un riesgo de ejecución remota de código sin inicio de sesión, y que las organizaciones que no puedan aplicar el parche a tiempo deben considerar desconectar temporalmente los sitios web afectados. El Centro Australiano de Ciberseguridad dio una recomendación similar y dijo que no había observado explotación. GoDaddy advirtió de robo de datos y manipulación de sitios web. Después, Valtori desconectó los sitios web de servicios públicos del Gobierno finlandés, incluidos los de la Oficina Nacional de Cartografía, la Feria del Libro de Helsinki y la Fundación del Cine Finlandés, sin fecha de restablecimiento. Huxiu añadió que Países Bajos, Francia, Alemania y Japón tomaron medidas similares. [ 5 , 7 , 12 ]
Landian y cnBeta dijeron que datos de observación mostraban que alrededor del 59,4% de los 1,5 millones de servidores PHP expuestos ejecutan versiones antiguas que no pueden actualizarse, y que PHP 5.6 y 7.x no recibirán el parche. Huxiu dijo que PHP 8.1 y anteriores solo reciben un parche de código fuente que el usuario debe compilar. Añadió que el fallo se remonta a PHP 5.4.0 de 2012 y que, según el especialista forense Hal Pomeranz, muchos sitios no mantenidos podrían no actualizarse nunca. [ 1 , 2 , 12 ]
Huxiu informó de que las empresas de seguridad Calif y Wiz encontraron los fallos de forma independiente con herramientas de IA, y que Cloudflare detectó los primeros ataques a las 07:43 GMT del 21 de octubre, horas antes del parche. IT Home había informado de que no había pruebas públicas de explotación a gran escala. Huxiu dijo que Cloudflare estableció reglas de bloqueo para todos los clientes, lo que, según su director de tecnología Dane Knecht, es una medida temporal, y que las acciones de Cloudflare llegaron a subir más de un 8% en un momento dado. [ 3 , 5 , 12 ]
Por qué importa
Medios chinos subrayaron que PHP sustenta muchos sitios web y que una gran parte de los servidores PHP expuestos ejecutan versiones que no recibirán actualizaciones oficiales. Los proveedores de nube y las agencias de seguridad instaron a los administradores a revisar sus versiones de PHP y actualizarlas de inmediato.
Datos clave
- El equipo de seguridad de PHP anunció una actualización de seguridad para las 14:00 UTC del 21 de octubre (22:00 hora de Pekín) para corregir CVE-2026-109618 y CVE-2026-109619. [ 3 , 12 ]
- Ambas vulnerabilidades tienen una puntuación de 9,2 según CVSS v4.0, que IT Home calificó de crítica. [ 3 , 5 ]
- Tencent Cloud afirmó que un atacante remoto sin autenticación podía enviar una solicitud POST multiparte manipulada para provocar corrupción de memoria y ejecución remota de código, y dio a los fallos el nombre en clave «php2shell». [ 10 , 11 ]
- CERT-EU aconsejó a las organizaciones que no puedan aplicar el parche a tiempo que consideren desconectar temporalmente los sitios web afectados. [ 5 , 6 , 7 ]
- Valtori, el centro de TIC del Gobierno finlandés, desconectó por precaución los sitios web de servicios públicos y no dio un calendario de restablecimiento. [ 7 ]
- Huxiu informó de que las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35 se publicaron el 21 de octubre. [ 12 ]
- Landian y cnBeta citaron datos de observación según los cuales alrededor del 59,4% de los 1,5 millones de servidores PHP expuestos ejecutan versiones antiguas que no pueden recibir actualizaciones. [ 1 , 2 ]
Confirmado por varias fuentes
- Los dos fallos son CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación de 9,2. [ 1 , 2 , 3 , 5 , 8 ]
- El equipo de PHP programó la corrección para las 22:00 hora de Pekín (14:00 UTC) del 21 de octubre, y cnBeta informó a las 22:36 de que la actualización ya se había publicado. [ 1 , 2 , 3 , 8 , 12 ]
- Funcionarios europeos de ciberseguridad aconsejaron a las organizaciones que no pudieran aplicar el parche a tiempo que desconectaran temporalmente los sitios web afectados. [ 5 , 6 , 7 ]
- Los sitios web del Gobierno finlandés se desconectaron por las vulnerabilidades de PHP. [ 7 , 12 ]
- PHP 5.6, 7.x y otras versiones antiguas no recibirán actualizaciones oficiales. [ 1 , 2 , 12 ]
Aún sin aclarar
- Qué versiones de PHP están afectadas. IT Home dijo que CERT-EU y ACSC señalaron PHP 5 y posteriores, mientras que el equipo de PHP aún no había publicado las versiones afectadas; Huxiu dijo que el fallo se remonta a PHP 5.4.0.
- Si los fallos se explotaron antes del parche. Huxiu informó de que Cloudflare detectó los primeros ataques a las 07:43 GMT del 21 de octubre, horas antes del parche. IT Home no encontró pruebas públicas de explotación a gran escala y dijo que el Centro Australiano de Ciberseguridad no había observado ninguna.
- Si existe alguna medida de mitigación para las versiones sin soporte. Landian dijo que no se sabía; IT Home dijo que no se había encontrado ninguna mitigación temporal oficial. Huxiu dijo que PHP 8.1 y anteriores solo reciben un parche de código fuente que los usuarios deben compilar por sí mismos, y Cloudflare calificó sus propias reglas de bloqueo de medida temporal.
- Qué otros países desconectaron sitios web. Solo Huxiu enumeró a Países Bajos, Francia, Alemania y Japón; otros medios mencionan solo Finlandia y la recomendación de la UE.
- Tencent Cloud publicó un aviso de riesgo sobre los fallos, al que llamó «php2shell». Por ahora lo informa una sola fuente.
Qué dicen los medios locales
Cronología, hora local
- Landian informa de que el equipo de seguridad de PHP publicará una actualización de emergencia a las 22:00. [ 1 ]
- Según Huxiu, Cloudflare detectó los primeros ataques a las 07:43 GMT, que equivalen a las 15:43 hora de Pekín. [ 3 , 12 ]
- IT Home, citando a Reuters, informa de la recomendación de CERT-EU de desconectar los sitios sin parchear. [ 5 ]
- IT Home informa de que Valtori está desconectando los sitios web del Gobierno finlandés. [ 7 ]
- Hora prevista de publicación de la actualización de seguridad de PHP (14:00 UTC). [ 3 , 12 ]
- cnBeta informa de que el equipo de PHP ha publicado la actualización de emergencia. [ 8 ]
- CLS informa del aviso de Tencent Cloud sobre los fallos «php2shell». [ 10 ]