Dos vulnerabilidades críticas de PHP, el software que ejecuta numerosas aplicaciones web, motivaron actualizaciones urgentes y alertas internacionales. Las correcciones están disponibles desde el 21 de octubre, pero los administradores deben comprobar que fueron instaladas en el servidor y atender un aviso adicional publicado dos días después.
La alerta conocida como PHP2Shell puso bajo revisión una parte fundamental de la infraestructura de internet. El problema afecta al entorno de ejecución de → PHP, encargado de interpretar programas en el servidor, y puede comprometer aplicaciones aunque sus contenidos y componentes estén actualizados.
Los identificadores de las dos vulnerabilidades son CVE-2026-109618 y CVE-2026-109619. CVE es el sistema que permite reconocer una falla de manera inequívoca entre fabricantes, investigadores y administradores. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10 en CVSS 4.0, la metodología utilizada para evaluar su severidad técnica.
Esa calificación no representa un porcentaje de sitios atacados ni una probabilidad individual de intrusión. Describe características del problema y sus posibles consecuencias. La exposición efectiva depende también de la configuración, la aplicación y las correcciones instaladas.
Qué significa ejecutar código sin iniciar sesión
La ejecución remota de código, habitualmente abreviada como RCE, permite que un atacante consiga ejecutar instrucciones en un sistema ajeno. En estos casos, determinadas vías de ataque no requieren una cuenta ni una contraseña de la aplicación.
Las consecuencias pueden incluir alteración de contenidos, acceso a información y afectación del servicio. Su alcance depende de los permisos del proceso comprometido y de la arquitectura del servidor: ejecutar código dentro de PHP no equivale automáticamente a obtener todos los privilegios del sistema operativo.
El → Centro Nacional de Ciberseguridad del Reino Unido recordó que PHP genera contenido dinámico, interactúa con bases de datos y procesa lógica de las aplicaciones antes de enviar el resultado al navegador. También puede estar incorporado en productos cuya interfaz no revela esa dependencia.
Dos problemas relacionados con la memoria
CVE-2026-109618 está vinculada al tratamiento del agotamiento de memoria. Una interrupción en un momento inadecuado puede dejar estructuras internas parcialmente inicializadas. Al finalizar la solicitud, PHP puede tratar esos datos incompletos como si fueran válidos, produciendo corrupción de memoria.
El aviso técnico describe una vía especialmente grave en Apache con mod_php: el problema puede activarse antes de que comience a ejecutarse el código de la aplicación. Por eso, proteger únicamente la pantalla de ingreso o modificar un complemento del gestor de contenidos no resuelve el defecto del intérprete.
CVE-2026-109619 involucra referencias internas que permanecen después de liberarse la memoria a la que apuntaban. Si un mismo proceso atiende otra solicitud y utiliza ese estado residual, puede producirse un acceso a memoria ya liberada. Las condiciones concretas dependen de las operaciones, la configuración y el tratamiento de errores.
La diferencia entre entornos importa, pero no autoriza a considerar seguro un servidor simplemente porque utiliza PHP-FPM en lugar de mod_php. Los avisos oficiales abarcan diferentes modalidades de ejecución y recomiendan corregir las instalaciones que atienden solicitudes web.
Qué versiones corrigieron las dos fallas
El lanzamiento del 21 de octubre incorporó las siguientes correcciones en las ramas mantenidas por el proyecto:
| Rama de PHP | Versión que incorpora las correcciones |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
La tabla corresponde específicamente a las dos vulnerabilidades iniciales. En sistemas administrados por una distribución o un proveedor, también debe verificarse si el paquete instalado incorpora una corrección adaptada, conocida como backport. El número principal mostrado en pantalla no siempre permite resolver esa comprobación.
La advertencia adicional del 23 de octubre
PHP informó después sobre CVE-2026-115560, una posibilidad de ejecución remota asociada a una combinación poco habitual de configuración y código de aplicación. Involucra cambios del mecanismo de serialización de sesiones durante la ejecución y la función que registra el progreso de cargas de archivos.
El proyecto recomendó desactivar temporalmente esa función mediante session.upload_progress.enabled=0 hasta la siguiente actualización regular. Las aplicaciones que nunca cambian el mecanismo de serialización en ejecución no presentan esa condición particular. Este aviso no significa que todas las instalaciones corregidas sean igualmente vulnerables, pero obliga a revisar la configuración además de instalar el parche.
Intentos de ataque y sitios comprometidos son cosas distintas
→ Cloudflare informó que observó tráfico de ataque y desplegó reglas de protección para su cortafuegos de aplicaciones web, o WAF. La empresa mantuvo la recomendación de actualizar PHP aunque esas defensas estuvieran activas.
La observación de solicitudes maliciosas acredita actividad ofensiva, pero no permite convertir cada intento en una intrusión exitosa. Tampoco la utilización extendida de PHP demuestra que todos los sitios que lo emplean hayan sido comprometidos.
Una discusión sobre cómo se sostiene el software esencial
La → PHP Foundation reconoció que los primeros indicios del problema de agotamiento de memoria habían surgido en 2024. Explicó que las dificultades para elegir una solución compatible, la falta de una vía de explotación concreta inicialmente y los recursos limitados demoraron la respuesta.
La fundación calificó esa demora como una falla estructural y describió cambios en sus procedimientos. También señaló que las herramientas de inteligencia artificial ayudan a investigar y validar reportes, pero que las decisiones y los parches siguen requiriendo intervención humana.
Para las organizaciones que dependen de una página web, la consecuencia práctica es establecer quién mantiene cada capa del servicio. Actualizar el gestor de contenidos es necesario, pero la seguridad también depende del intérprete, el alojamiento y los procesos que permanecen en ejecución.
Fuentes principales
→ PHP Project. (2026, 21 de octubre). RCE via OOM corruption. Aviso GHSA-w8hw-w9fx-j79w.
→ PHP Project. (2026, 21 de octubre). RCE via stale global state. Aviso GHSA-6wmf-4rv5-p3rp.
→ National Cyber Security Centre. (2026, octubre). Critical security issue affecting PHP.
ICI Plus – Elaboración propia a partir de fuentes verificadas. Actualizado al 24 de octubre de 2026.
Crédito de imagen: ICI Plus. Ilustración generada con inteligencia artificial; no documenta un incidente ni una instalación real.
