PHP publicó este miércoles 21 de octubre versiones de emergencia para dos fallas críticas. Permiten ejecutar código en un servidor sin contraseña. WordPress y miles de sitios más funcionan sobre PHP. Por eso, la actualización la debe hacer quien administra el servidor o el hosting.
Las fallas se identifican como CVE-2026-109618 y CVE-2026-109619. PHP las califica con 9,2 sobre 10 en la escala CVSS v4.0, que las ubica como críticas. Algunos reportes iniciales hablaban de 10,0, pero esa no es la cifra oficial.
Según el resumen de la firma Huntress, la primera falla ocurre cuando se agota la memoria. Pasa mientras PHP prepara los datos de una solicitud. Esos datos quedan a medio inicializar y la limpieza posterior los trata como válidos. La segunda conserva información de una solicitud después de liberar su memoria, y otra solicitud puede usarla.
El aviso completo de PHP no pudo consultarse. En php.net solo se vio un banner que pide actualizar de inmediato. Por eso la descripción técnica se atribuye a Huntress.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según Patchstack, Tenable y watchTowr, la falla afecta desde PHP 5 en adelante. Aplica a las formas comunes de servir páginas, como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Las versiones 8.1 y anteriores ya no tienen soporte oficial. Según Huntress, PHP entregó parches mínimos en código fuente para 7.4, 8.0 y 8.1. Sirven para quienes compilan el programa a mano. Además, algunas distribuciones de Linux, como Debian o Ubuntu, corrigen la falla sin cambiar el número de versión.
Sobre la explotación, las fuentes no coinciden. Según Tenable, Cloudflare dijo ver ataques tempranos. Activó reglas automáticas en su firewall para todos sus planes, incluido el gratuito. Su director de tecnología, Dane Knecht, advirtió que eso es solo una medida temporal. watchTowr, que vigila ataques con una red de señuelos, afirmó según la traducción de El Centavo: "Se ha observado explotación activa a partir del 21 de octubre".
Patchstack, en cambio, reportó solo sondeos en su telemetría. Huntress dijo que no había visto explotación en sus clientes cuando publicó su análisis. El alcance real de los ataques no está confirmado.
Gina Peter Banyard, desarrolladora del núcleo de PHP, fue citada por Tenable: "la única mitigación es parchear o actualizar PHP", según la traducción de El Centavo.
Si tienes un sitio en WordPress, actualizar WordPress no es suficiente. Codeable lo resume así, según la traducción de El Centavo: "Mantener WordPress actualizado no te protege aquí". Puedes ver tu versión de PHP en Herramientas, luego Salud del sitio, Información y Servidor.
Lo que debes hacer depende de tu hosting. Según Codeable, en hosting gestionado de WordPress el proveedor actualiza. En hosting compartido con cPanel, el proveedor suele desplegar el parche. A veces puedes cambiar la versión de PHP desde el panel. En un VPS o servidor propio, nadie lo hará por ti: debes instalar los paquetes y reiniciar PHP.
El número de versión puede no cambiar. Por eso, pregúntale a tu proveedor si aplicó la corrección de seguridad del 21 de octubre. Antes de actualizar, haz una copia de seguridad y prueba en un sitio de pruebas. Los temas y plugins viejos pueden fallar con una versión más nueva de PHP.
GoDaddy y Codeable sugieren desactivar la opción session.upload_progress.enabled como medida provisional. Codeable dice que WordPress no usa esa función. Sin embargo, según Tenable, Joe Ferguson, gestor de PHP 8.6, advirtió que cambiar esa configuración no basta. Es una medida de terceros y no reemplaza el parche.
Si no puedes actualizar de inmediato, Patchstack sugiere poner el sitio en modo mantenimiento o desconectarlo. CERT-EU recomienda aislar de internet las aplicaciones expuestas. Si tu sitio usa PHP 5, 7, 8.0 o 8.1 sin parche, Huntress aconseja migrar. Mientras tanto, conviene protegerlo con una VPN o un firewall de aplicaciones.
Huntress y Patchstack indican qué vigilar si sospechas una intrusión. Revisa si hay procesos de PHP que abran intérpretes de comandos. Mira también si hay archivos nuevos en la carpeta web, tareas programadas o cuentas nuevas. Si hay señales, aísla el servidor y guarda los registros. Patchstack añade rotar las credenciales que guarda el servidor, porque la falla puede exponer memoria.
Desconfía de los "plugins de arreglo" y de fragmentos de código copiados. Patchstack insiste, según la traducción de El Centavo: "Actualizar es absolutamente necesario".
Según Tenable, que cita a W3Techs, PHP lo usa el 69,3 % de los sitios cuyo lenguaje de servidor se conoce. El 21 de octubre, El Centavo no halló un aviso de ColCERT ni de MinTIC sobre esta falla.
Fuentes: Huntress, Tenable, Patchstack, watchTowr, GoDaddy, Codeable y php.net.
