Resumen de la alerta

PHP ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades críticas en su núcleo: CVE-2026-109618 y CVE-2026-109619. Ambas podrían permitir que un atacante remoto no autenticado ejecutase código con los privilegios del proceso web de PHP.

Los dos fallos tienen una puntuación CVSS v4.0 de 9,2. El riesgo afecta especialmente a instalaciones que procesan solicitudes web mediante PHP-FPM, Apache mod_php, php-cgi, FrankenPHP o LiteSpeed. PHP señala un riesgo superior en entornos que utilizan Apache mod_php.

La información disponible recoge actividad de ataques contra servidores PHP antes de la publicación de las actualizaciones, referida al conjunto de vulnerabilidades. Sin embargo, no se identifica qué CVE se habría utilizado en cada caso y el aviso registra la explotación de ambos identificadores como No. Por tanto, no debe atribuirse actividad confirmada de explotación a un CVE concreto.

Recursos afectados

Se consideran afectadas las siguientes versiones de ramas mantenidas de PHP:

PHP 8.2.x anterior a 8.2.35.
PHP 8.3.x anterior a 8.3.36.
PHP 8.4.x anterior a 8.4.27.
PHP 8.5.x anterior a 8.5.12.

La exposición incluye instalaciones que reciben tráfico web y emplean PHP-FPM, Apache mod_php, php-cgi, FrankenPHP o LiteSpeed.

PHP 8.1 y las ramas anteriores ya no reciben actualizaciones regulares del proyecto. No obstante, PHP ha puesto a disposición parches de código fuente retroportados para PHP 7.4, 8.0 y 8.1. Algunos distribuidores o proveedores de soporte pueden proporcionar sus propias correcciones retroportadas.

Descripción de las vulnerabilidades

CVE-2026-109618 es una vulnerabilidad de ejecución remota de código relacionada con corrupción de memoria durante una situación de agotamiento de memoria, conocida como OOM. En determinadas rutas de procesamiento, PHP puede sufrir un fallo al reservar memoria cuando los datos de una solicitud todavía no se han inicializado completamente. Aunque el procesamiento se interrumpe, el cierre de la solicitud puede reutilizar ese estado inválido y causar corrupción de memoria.

PHP destaca como vector relevante las solicitudes POST multipart. Una petición con numerosas cabeceras en sus partes, controles de archivo vacíos o nombres de campos anidados puede aumentar el uso de memoria incluso si la solicitud parece ajustarse a los límites configurados. PHP ha validado la ejecución remota de código sin autenticación en Apache mod_php antes de que se ejecute el código de la aplicación. El análisis también considera que PHP-FPM puede ser susceptible, aunque no se ha demostrado un exploit completo para esa ruta concreta.

CVE-2026-109619 afecta al tratamiento de estado interno asociado a las solicitudes. Tras liberar la memoria de una petición, parte de ese estado puede permanecer en el proceso trabajador. Si una solicitud posterior es atendida por el mismo trabajador y utiliza dicho estado antes de que PHP lo reinicialice, podría producirse un uso de memoria después de su liberación.

Las consecuencias potenciales de CVE-2026-109619 incluyen divulgación de memoria y ejecución remota de código. PHP describe rutas confirmadas en Apache mod_php y PHP-FPM. La explotación puede depender de un error fatal, de una operación de sesión y de que solicitudes consecutivas sean procesadas por el mismo trabajador. En PHP 8.5 también se ha demostrado una ruta vinculada a las trazas de errores fatales.

Impacto y nivel de riesgo

Una explotación satisfactoria podría permitir la ejecución de código remoto con los privilegios del proceso web que ejecuta PHP. Esto sitúa la actualización entre las actuaciones prioritarias para organizaciones con aplicaciones PHP expuestas a redes públicas.

El riesgo práctico es especialmente relevante cuando el servidor procesa solicitudes web no confiables. No se requiere autenticación para las rutas descritas por PHP, aunque algunas condiciones de explotación dependen del componente utilizado y de circunstancias específicas, como un agotamiento de memoria, errores fatales, operaciones de sesión o la reutilización de un mismo proceso trabajador.

La existencia de vulnerabilidades críticas no implica por sí misma que todos los sistemas afectados hayan sido comprometidos. Tampoco debe asumirse que los ataques comunicados estén vinculados de forma confirmada a CVE-2026-109618 o CVE-2026-109619 individualmente.

Solución y medidas recomendadas

La solución completa consiste en actualizar PHP inmediatamente a la versión corregida correspondiente:

PHP 8.5.12.
PHP 8.4.27.
PHP 8.3.36.
PHP 8.2.35.

Las organizaciones que utilicen paquetes proporcionados por una distribución Linux o por un proveedor de soporte LTS deben comprobar que dichos paquetes incorporan las correcciones. Para PHP 8.1, 8.0 y 7.4, PHP ofrece parches de código fuente retroportados. Si el proveedor no facilita una versión corregida, PHP recomienda contactar con él o migrar a una rama mantenida.

Si la actualización no puede aplicarse de inmediato, PHP indica medidas temporales para reducir la exposición. Estas acciones no sustituyen la instalación de una versión corregida.

Para CVE-2026-109618, establecer administrativamente memory_limit=-1, reiniciar los procesos y verificar que ninguna configuración de aplicación, directorio o pool vuelve a establecer un límite finito. PHP advierte de que memory_limit=128M no desactiva la vulnerabilidad y de que el valor -1 puede incrementar el consumo de memoria del servidor.
Mantener post_max_size en un valor bajo. PHP recomienda 8 MB cuando no se permiten cargas de archivos y 32 MB cuando son necesarias. upload_max_filesize debe permanecer por debajo de post_max_size.
Aplicar límites en el servidor web o proxy al tamaño de la solicitud ya decodificada, campos, partes multipart, cabeceras y profundidad de anidamiento. Estos controles deben considerar solicitudes sin una cabecera Content-Length válida.
Bloquear formularios multipart antes de que lleguen a PHP cuando la aplicación no los necesite.
No utilizar RLIMIT_AS ni RLIMIT_DATA, ya que pueden provocar fallos de asignación que activen la ruta vulnerable. Los límites de memoria de contenedor o cgroup pueden actuar como barrera de disponibilidad, pero no son una mitigación completa.
Para CVE-2026-109619, desactivar administrativamente session.upload_progress.enabled y reiniciar todos los procesos. En PHP 8.5 debe desactivarse también fatal_error_backtraces.
Revisar y eliminar directivas por solicitud inválidas u obsoletas que generen avisos antes de inicializar la solicitud. Ocultar avisos mediante error_reporting, display_errors o @ no mitiga CVE-2026-109619.
Corregir errores fatales y tiempos de ejecución agotados en rutas accesibles desde solicitudes no confiables.

Recomendaciones para organizaciones afectadas

Identificar los servidores y aplicaciones que ejecuten PHP 8.2.x, 8.3.x, 8.4.x o 8.5.x en versiones anteriores a las corregidas.
Priorizar los sistemas expuestos a Internet y, dentro de ellos, los que utilicen Apache mod_php.
Actualizar PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 según la rama desplegada.
Comprobar con el distribuidor o proveedor de soporte que los paquetes instalados incluyen las correcciones, especialmente en ramas sin mantenimiento regular.
Cuando no sea posible actualizar de forma inmediata, aplicar las mitigaciones temporales indicadas por PHP y reiniciar los procesos afectados.
Aislar de las redes públicas los sistemas expuestos a Internet que no puedan actualizarse, ya que las medidas temporales solo reducen la exposición a rutas concretas y no

Fuente: link

Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.