El 21 de octubre de 2026 PHP publicó versiones de seguridad que corrigen dos fallas de ejecución remota de código. Te explicamos a quién afectan y qué hacer.
El 21 de octubre de 2026 el proyecto PHP publicó versiones de seguridad para todas sus ramas con soporte: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Corrigen dos vulnerabilidades críticas que, según el anuncio oficial, pueden permitir la ejecución remota de código en el servidor.
Las dos vulnerabilidades
- CVE-2026-109618 (aviso GHSA-w8hw-w9fx-j79w): ejecución remota de código por corrupción de memoria cuando el servidor se queda sin memoria. El manejo de ese error puede interrumpir PHP mientras los datos internos de la petición están inicializados solo en parte.
- CVE-2026-109619 (aviso GHSA-6wmf-4rv5-p3rp): ejecución remota de código por estado global obsoleto. Información interna de una petición puede sobrevivir después de que se liberó la memoria que la respaldaba.
El anuncio aclara que no existen mitigaciones completas: actualizar es la única corrección total.
¿A quién afecta?
A cualquier sitio o aplicación que ejecute PHP en una versión anterior a las corregidas: sitios en WordPress o Joomla, tiendas en línea, sistemas a la medida en Laravel, CRM, ERP y paneles de hosting. Las ramas 8.1 y anteriores ya no reciben correcciones del proyecto PHP, así que siguen expuestas salvo que el proveedor de hosting aplique un parche propio.
Qué hacer ahora
- Identifica la versión de PHP de cada sitio o servidor (en el panel de hosting o con el comando
php -v). - Actualiza a la versión corregida de tu rama: 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o una superior.
- Reinicia PHP-FPM, Apache y cualquier proceso de PHP de larga duración para que la actualización surta efecto.
- Si usas PHP 8.1 o anterior, planea la migración a una rama con soporte. Ten en cuenta que PHP 8.2 termina su soporte el 31 de diciembre de 2026.
- Revisa los registros del servidor en busca de errores de memoria inusuales o actividad anómala en los últimos días.
Actualización del 22 de octubre: ya hay ataques (PHP2Shell)
Los investigadores bautizaron estas fallas como PHP2Shell. La firma watchTowr reportó ataques reales contra ambas vulnerabilidades desde el 21 de octubre, y Recorded Future documentó que detalles técnicos se filtraron antes de la publicación coordinada. Las ramas 7.4, 8.0 y 8.1 no tienen una versión oficial corregida (el proyecto publicó parches mínimos solo en código fuente), y PHP 7.3 y anteriores, incluido PHP 5, quedan sin corrección.
Si ya actualizaste, revisa los registros desde el 20 de octubre en busca de archivos PHP desconocidos (web shells), tareas programadas nuevas, peticiones muy grandes con muchos archivos adjuntos y caídas de procesos de PHP. Fuentes: análisis de watchTowr sobre PHP2Shell y cronología de Recorded Future.
Actualización del 26 de octubre: ataques confirmados y una tercera falla
Un investigador publicó evidencia de ejecución remota de código real en servidores trampa (honeypots) con Apache, mod_php y PHP 8.4.26: 35 web shells en tres servidores, compatibles con CVE-2026-109618. El 26 de octubre, CISA agregó las dos fallas a su catálogo de vulnerabilidades explotadas. Además, el 23 de octubre el proyecto PHP informó de una tercera falla, CVE-2026-115560, que todavía no tiene parche y solo se puede explotar con una combinación poco común: una aplicación que cambia con ini_set() el formato de las sesiones justo antes de iniciarlas, mientras el progreso de carga de archivos está activo. Mientras sale la corrección, PHP recomienda poner en 0 la opción session.upload_progress.enabled; antes de hacerlo, confirma que tu aplicación no use barras de progreso de carga de archivos. Fuentes: aviso informativo de PHP sobre el progreso de carga en sesiones, alerta de CISA sobre las fallas de PHP y reporte del investigador sobre los honeypots.
Actualización del 30 de octubre: Fragnesia y la falla sin parche
El 28 de octubre, CISA confirmó que los atacantes combinan PHP2Shell con Fragnesia (CVE-2026-46300), una falla del kernel de Linux, para pasar del usuario del servicio web a root, con control total del servidor. Por eso, además de PHP, hay que actualizar el kernel y reiniciar el servidor; lo explicamos en Fragnesia: la falla de Linux que agrava los ataques a PHP. La tercera falla, CVE-2026-115560, sigue sin corrección al 30 de octubre: el equipo de PHP la incluirá en su próxima versión regular, así que mantén session.upload_progress.enabled en 0 si aplicaste esa medida.
Actualización del 31 de octubre: fuentes oficiales
Revisamos esta noticia contra los avisos de PHP y CISA y el reporte original del investigador de los honeypots. Cambiamos las fuentes de medios por esos documentos y retiramos una opinión que solo se publicó en redes sociales.
Cómo lo gestionamos en Pronetsys
Aplicamos los parches críticos en los plazos que define nuestra Política de Seguridad de la Información. Si tu sitio o servidor está en un plan de mantenimiento con nosotros, la actualización hace parte del servicio. Si no sabes qué versión de PHP usa tu sitio, escríbenos y la revisamos contigo.
Fuente: PHP.net
