Las fallas críticas de PHP ya se explotan en servidores reales: expertos confirman que los parches publicados por PHP el 21 de octubre deben instalarse cuanto antes; actualice a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 para corregir CVE-2026-109618 y CVE-2026-109619.
La Fundación PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 que corrigen dos vulnerabilidades críticas que permiten ejecución remota sin autenticación, y urgió a los administradores a actualizar de inmediato.
El aviso técnico de la Fundación PHP describe CVE-2026-109618 como un problema en el manejo de memoria que puede dejar datos internos parcialmente inicializados y, en condiciones específicas, permitir la ejecución remota de código en Apache con mod_php o en PHP-FPM.
Enter.co documentó que el 26 de octubre un investigador registró en honeypots una explotación exitosa contra un Apache con mod_php y PHP 8.4.26: según el informe, el atacante logró leer memoria del servidor y ejecutar un comando, lo que confirma explotaciones en entornos reales.
Las dos fallas (CVE-2026-109618 y CVE-2026-109619) afectan partes centrales de PHP —la gestión de memoria y el estado global— por eso los parches debieron aplicarse a todas las ramas soportadas, según la Fundación PHP.
Si su sitio corre en hosting compartido, actualizar la aplicación (por ejemplo WordPress) no basta: la vulnerabilidad está en el motor PHP. La Fundación PHP y los distribuidores recomiendan usar las versiones publicadas o solicitar la actualización al proveedor de alojamiento.
La Fundación PHP también relató que el problema fue estudiado por varios equipos externos y que filtraciones y un avance del embargo aceleraron la aparición de pruebas de concepto, lo que aumentó el riesgo para servidores sin parche.
Para administradores: compruebe la versión de PHP en su servidor y planifique la actualización a 8.5.12, 8.4.27, 8.3.36 o 8.2.35; si no puede actualizar, contacte a su proveedor de hosting y pida mitigaciones temporales indicadas por su distribuidor.
La confirmación de explotación real cambia la alerta de teórica a práctica: quien no haya parcheado ya no solo corre un riesgo potencial, según el reporte con honeypots recogido por Enter.co.
Si desea más contexto sobre amenazas y ciberseguridad global, vea la cobertura y recomendaciones de expertos; y recuerde que mantener el software base actualizado es una de las medidas más efectivas contra intrusiones.
Sources
- Enter.co — confirmó explotación en honeypots y documentó la prueba contra Apache con mod_php.
- The PHP Foundation — publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 y describió los CVE y su gravedad.
Otras noticias
- Exinvestigador de OpenAI: asegura que el enigma de cómo piensa la IA podría estar
- Brian Louis Sguros: usó la identidad de un vecino muerto desde 2022 para quedarse
- Samsung: One UI 9 llega al Galaxy Z Fold7 y Z Flip7
Artículos similares
- Windows 11 24H2 dejará de recibir actualizaciones el 13 de octubre de 2026
- REA permite a agentes de IA explicar cómo funciona una app sin su código fuente
- Paramount+ en octubre de 2026: estrenos y eventos que llegan a la plataforma
- Bill Gates alerta que ciberataques con IA podrían aumentar en 2027
- Samsung ofrece hasta 7 años de actualizaciones: por qué es tan importante
Alonso Delgado cubre la actualidad internacional con rigor. Encontrará reportajes precisos y pertinentes sobre los grandes acontecimientos globales, desde crisis políticas hasta avances diplomáticos.
