PHP publica correcciones para dos fallos críticos de ejecución remota de código con calificación 9,2
En breve
El proyecto de desarrollo de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre para corregir dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, cada una con calificación 9,2 en CVSS v4.0. El equipo de PHP afirma que pueden provocar ejecución remota de código sin autenticación e insta a todos los usuarios a actualizar de inmediato. Varios servicios japoneses de juegos y web anunciaron mantenimiento de emergencia alrededor de la publicación.
Leer la noticia completa 3 min de lectura
El proyecto de desarrollo de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, según Gigazine e ITmedia. Mynavi News informó de que el equipo de seguridad publicó la versión el 21 de octubre por los fallos CVE-2026-109618 y CVE-2026-109619, que podrían provocar ejecución remota de código sin autenticación. ITmedia afirmó que el sitio oficial recomienda encarecidamente a todos los usuarios de PHP actualizar de inmediato. [ 9 , 10 , 11 ]
Según Mynavi News, el equipo de PHP afirmó que están afectados todos los entornos de PHP que gestionan solicitudes web, incluidos PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Dijo que mod_php conlleva el mayor riesgo porque allí se ha demostrado un exploit funcional. CVE-2026-109618 se debe al manejo de memoria agotada y CVE-2026-109619 al estado que queda tras una solicitud. El equipo afirmó que no existe una mitigación completa y que actualizar es la única forma de estar a salvo. También publicó correcciones mínimas retroportadas para PHP 7.4, 8.0 y 8.1, que ya no reciben soporte oficial. Según dijo, las medidas provisionales enumeradas solo reducen la exposición a determinadas vías de ataque, y el soporte de PHP 8.2 termina el 31 de diciembre de 2026. [ 10 ]
El equipo de seguridad había anunciado el 20 de octubre que la actualización se publicaría a las 23:00 hora de Japón del 21 de octubre. Las dos vulnerabilidades tienen cada una una calificación de 9,2 en CVSS v4.0, en la banda crítica. El equipo dijo que los detalles y las versiones afectadas se darían a conocer en la publicación, y que podría publicar antes si los detalles se filtraban o se detectaba explotación. CERT-EU emitió el 20 de octubre una alerta en la que afirmaba que todas las versiones desde PHP 5 en adelante podrían verse afectadas, y recomendó a las organizaciones identificar las aplicaciones PHP y preparar el parche. Si no es posible, sugirió desconectar de redes externas las aplicaciones expuestas a internet. [ 1 , 2 , 4 , 7 ]
Gigazine informó de que el investigador Kirill Firsov publicó en X un vídeo, bajo el nombre php2shell, que mostraba ataques que ejecutaban comandos en entornos de prueba con WordPress, Drupal y Magento. La empresa de seguridad watchTowr dijo que reprodujo un ataque para CVE-2026-109618, que no divulgó detalles técnicos y que no ha confirmado explotación en el mundo real. ITmedia informó de que GMO Flatt Security presume un fallo de corrupción de memoria y, si el fallo coincide con la investigación propia de la empresa, uno ligado a la función Session Upload Progress. [ 3 , 4 , 5 ]
Game*Spark e INSIDE informaron de que la IPA, que ha pedido a los administradores de sistemas que se preparen para aplicar la corrección, afirmó que no ha confirmado ataques y que su alerta es preventiva. Se anunció mantenimiento para títulos de Cygames como Uma Musume y Granblue Fantasy, y para Shadowverse: Worlds Beyond, Dorufin Webu (ドルフィンウェーブ), CHUNITHM-NET y Hebun Banzu Reddo (ヘブンバーンズレッド). OBS Studio dijo que partes de su sitio web no estarían disponibles. El equipo de Shadowverse: Worlds Beyond afirmó que ha confirmado que no hubo daños ni filtración de datos de usuarios. [ 7 , 8 ]
Por qué importa
Medios tecnológicos japoneses señalan que PHP da soporte a un gran número de sitios web y servicios, por lo que un fallo en PHP puede afectar a muchos de ellos. El equipo de PHP afirma que actualizar es la única forma de asegurar los sistemas, e ITmedia y Game*Spark informan de que empresas y operadores de servicios se preparaban o estaban realizando mantenimientos en torno a la publicación.
Datos clave
- El equipo de seguridad de PHP anunció el 20 de octubre que publicaría una actualización de seguridad a las 23:00 hora de Japón del 21 de octubre para dos vulnerabilidades críticas. [ 1 , 2 , 4 , 7 ]
- Ambas vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, tienen una calificación de 9,2 (crítica) en CVSS v4.0. [ 2 , 4 , 7 , 10 ]
- Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. [ 9 , 11 ]
- El equipo de PHP afirma que los fallos pueden provocar ejecución remota de código sin autenticación y que, aparte de actualizar, no existe una mitigación completa. [ 10 ]
- CERT-EU afirmó que todas las versiones de PHP desde PHP 5 en adelante podrían verse afectadas. [ 2 , 4 ]
- El equipo de PHP también publicó correcciones mínimas retroportadas para PHP 7.4, 8.0 y 8.1, que ya no reciben soporte oficial. [ 10 ]
- Cygames, con títulos como Uma Musume y Granblue Fantasy, y otros servicios anunciaron mantenimiento de emergencia alrededor de las 23:00 del 21 de octubre. [ 7 , 8 ]
Confirmado por varias fuentes
- Dos vulnerabilidades críticas de PHP con calificación 9,2 en CVSS v4.0 se anunciaron el 20 de octubre, con correcciones programadas para las 23:00 hora de Japón del 21 de octubre. [ 1 , 2 , 4 , 7 ]
- El proyecto PHP publicó las versiones corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. [ 9 , 11 ]
- Las vulnerabilidades son CVE-2026-109618 y CVE-2026-109619. [ 2 , 4 , 10 ]
- CERT-EU advirtió que todas las versiones de PHP desde PHP 5 en adelante podrían verse afectadas y recomendó preparar la aplicación de la corrección de inmediato. [ 2 , 4 ]
Aún sin aclarar
- Qué versiones de PHP están afectadas en general. CERT-EU y algunos investigadores afirman que PHP 5 en adelante podría verse afectado, mientras que la declaración propia del equipo de PHP, según la recoge Mynavi News, nombra los entornos afectados y ofrece retroportes para 7.4, 8.0 y 8.1.
- Si los fallos se están explotando en ataques reales. watchTowr afirmó que no ha confirmado tales casos y la IPA no tiene constancia de ataques, pero el investigador Kirill Firsov ha publicado un vídeo de ataques en entornos de prueba.
- La causa técnica según estimó GMO Flatt Security, a saber, un fallo de corrupción de memoria ligado a la función Session Upload Progress. El resumen de ITmedia indica que esto solo se cumple si el fallo coincide con la investigación propia de la empresa, y solo está disponible el resumen.
- La IPA afirmó que no ha confirmado ataques que exploten las vulnerabilidades y calificó su alerta de preventiva. Solo lo informan los artículos de Game*Spark e INSIDE, que tienen el mismo texto.
Qué dicen los medios locales
Cronología, hora local
- ASCII.jp informa del aviso del equipo de PHP del 20 de octubre, en el que anunciaba que las correcciones se publicarían a las 23:00 hora de Japón del 21 de octubre. [ 1 ]
- Gigazine informa del vídeo de ataque del investigador Kirill Firsov y de la reproducción de CVE-2026-109618 por parte de watchTowr. [ 4 ]
- Comienza el mantenimiento de Hebun Banzu Reddo (ヘブンバーンズレッド) por medidas de seguridad. [ 7 ]
- Hora de publicación prevista de la corrección de PHP y comienzo del mantenimiento de emergencia de Uma Musume, Granblue Fantasy y otros. [ 2 , 7 ]
- Gigazine informa de la publicación de PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. [ 9 ]
- Mynavi News informa de que la actualización de seguridad se publicó el 21 de octubre con un llamamiento urgente a actualizar. [ 10 ]
- ITmedia informa de las versiones corregidas y del llamamiento del proyecto a actualizar de inmediato. [ 11 ]