Información contrastada el 24 de octubre de 2026.
PHP ha publicado correcciones para dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación. Si tu web utiliza PHP, conviene verificar con quien administra el alojamiento que dispone de los parches correspondientes. La alerta exige actuar con prioridad, pero no demuestra que una web concreta haya sufrido un ataque.
Qué vulnerabilidades se han corregido
CVE-2026-109618 afecta al tratamiento de situaciones de falta de memoria. CVE-2026-109619 está relacionada con estados internos que pueden persistir entre peticiones después de liberarse la memoria asociada. Las condiciones de explotación dependen del entorno; utilizar PHP-FPM no permite descartar automáticamente el riesgo.
El proyecto PHP detalla ambos problemas en los avisos oficiales GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp.
Versiones y compilaciones que deben comprobarse
Las versiones publicadas el 21 de octubre de 2026 para corregir estas dos CVE son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, cada una dentro de su rama.
En paquetes de distribuciones o proveedores, la comprobación debe incluir la revisión del paquete y sus parches. Plesk documenta compilaciones Linux de PHP 7.4.33, 8.0.30 y 8.1.34 del 21 de octubre que incorporan estas correcciones sin cambiar el número de versión. Esto no devuelve a esas ramas el soporte oficial del proyecto PHP. Consulta la tabla de versiones y compilaciones de Plesk.
Qué añade el aviso del 23 de octubre
PHP comunicó un vector adicional, CVE-2026-115560, vinculado a una combinación poco habitual de configuración y código de sesiones. Sugiere desactivar temporalmente session.upload_progress.enabled hasta la siguiente versión regular. Las aplicaciones que nunca cambian el serializador de sesiones en ejecución pueden mantener esa función habilitada.
El responsable técnico debe comprobar las condiciones y aplicar la medida en el nivel adecuado; no basta con copiar ajustes dentro de WordPress. Los avisos oficiales de PHP del 21 y 23 de octubre explican el alcance y las limitaciones.
Qué recomendamos a los clientes
Verificar los parches efectivos. Pide al administrador del alojamiento confirmación de la compilación y de los parches instalados, además del número de versión.
Coordinar la intervención. Planifica cualquier actualización con pruebas de compatibilidad y recuperación. Si no puede aplicarse el parche, valora con el responsable técnico las medidas de contención oficiales. Una mitigación parcial no equivale a una corrección completa.
Delimitar responsabilidades. Confirma quién mantiene PHP y quién mantiene la aplicación, sus plugins y su tema, conforme a los servicios contratados.
Diagnosticar con evidencias. Si aparecen indicios de intrusión, conserva evidencias y solicita un diagnóstico. Una caída o un fallo de correo, por sí solos, no acreditan explotación de estas CVE.
CERT-EU recomienda corregir prioritariamente los sistemas afectados. Si necesitas revisar el alcance sobre tu web, contacta con ChipToChip para delimitar la verificación según tu servicio contratado.
