Los administradores de servidores y sitios que ejecutan PHP deben comprobar y actualizar sus instalaciones: el equipo del lenguaje publicó el 21 de octubre parches para dos fallas críticas que, bajo ciertas condiciones, podrían permitir a un atacante ejecutar código de manera remota sin autenticarse.
Las vulnerabilidades son CVE-2026-109618 y CVE-2026-109619. El equipo de PHP recomienda actualizar a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama instalada. Las distribuciones Linux y proveedores de soporte extendido pueden aplicar las correcciones en sus propios paquetes; por eso, los administradores deben consultar a su proveedor además de verificar la versión que realmente corre en producción.
Qué riesgo existe y quién debe actuar
Las fallas se relacionan con errores en el manejo interno de memoria y estado de las solicitudes. El aviso técnico de PHP describe escenarios de ejecución remota de código no autenticada. Eso no significa que todos los sitios PHP hayan sido comprometidos ni que todo sitio web use PHP. El riesgo depende de la versión, la configuración y los componentes que procesan las solicitudes.
La advertencia es relevante para empresas, medios, comercios electrónicos, organizaciones y agencias públicas que mantienen aplicaciones PHP, incluidas plataformas de gestión de contenido y servicios conectados. La primera medida es identificar la versión en los servidores y coordinar la actualización con el proveedor o el equipo técnico. No basta con actualizar un complemento si el intérprete PHP que atiende las solicitudes permanece vulnerable.
La corrección es la medida principal
El equipo de PHP indica que no existe una mitigación completa que sustituya la actualización. Sus guías enumeran controles temporales para reducir algunas rutas de explotación, pero advierten que tienen límites. No aplique cambios de configuración de memoria, cargas o trabajadores sin validar primero su efecto con personal técnico; una configuración improvisada puede interrumpir un servicio o dejar rutas sin cubrir.
La recomendación práctica es pedir al proveedor de alojamiento que confirme por escrito la versión corregida, el alcance de los servidores y la fecha de aplicación; comprobar después la versión activa y revisar registros de seguridad si hay indicios de actividad inusual. Si una entidad no puede actualizar de inmediato, debe consultar las mitigaciones específicas del aviso oficial y elevar el incidente a su equipo de ciberseguridad.
La vulnerabilidad fue identificada con ayuda de herramientas de inteligencia artificial durante una labor coordinada con mantenedores y empresas de seguridad. La prioridad editorial aquí no es atribuir a la IA una amenaza abstracta, sino traducir el aviso técnico en una acción verificable: localizar PHP, actualizar y confirmar que el parche quedó activo. La publicación de parches no demuestra que un sistema particular haya sido atacado.
Fuentes: equipo oficial de PHP: aviso técnico y versiones corregidas (21 de octubre de 2026); OpenAI: coordinación de la divulgación y respuesta; Associated Press: respuesta de operadores y advertencia del FBI.