Dos vulnerabilidades en el motor de PHP encendieron las alarmas de seguridad. Los parches ya están disponibles: qué cambió y qué deben revisar quienes administran una web.
PHP volvió al centro de las alertas de ciberseguridad después de la publicación de correcciones para dos vulnerabilidades críticas. Bajo determinadas condiciones, permiten que un atacante ejecute código en un servidor sin iniciar sesión.
El dato importante no es solamente la gravedad del problema: las actualizaciones ya están disponibles. El proyecto publicó los parches el 21 de octubre de 2026 y pidió aplicarlos de inmediato. Aviso oficial de PHP.
Qué es PHP y por qué importa aunque no programes
PHP es un lenguaje utilizado para desarrollar aplicaciones web que funcionan del lado del servidor. Participa en tareas que el visitante no ve: procesar formularios, consultar información o generar páginas.
Por eso, administrar un sitio no consiste únicamente en actualizar su contenido. También hay que mantener el software que lo hace funcionar. Una página puede verse normal y, aun así, depender de componentes pendientes de actualización.
Para quien tiene una web, la pregunta práctica es sencilla: ¿quién mantiene PHP y cómo confirma que está actualizado?
Cuáles son las dos vulnerabilidades
La primera, CVE-2026-109618, está relacionada con el manejo de errores por falta de memoria. PHP podía interrumpir una operación cuando algunos datos internos todavía estaban incompletos y después tratarlos como válidos. Esa situación puede habilitar la ejecución remota de código. Informe técnico del proyecto PHP.
La segunda, CVE-2026-109619, involucra información interna que permanece referenciada después de liberar la memoria que ocupaba. Una solicitud posterior puede volver a utilizar ese estado inválido. Su aprovechamiento depende de las operaciones y la configuración involucradas. Segundo informe oficial.
La Fundación PHP aclaró que la puntuación de gravedad es 9,2 sobre 10, no 10 como había circulado inicialmente. También explicó que adelantó la publicación de las correcciones después de filtraciones relacionadas con el anuncio. Explicación de PHP Foundation.
Qué instalaciones deben revisarse
La advertencia oficial abarca instalaciones de PHP que atienden solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
El equipo considera especialmente elevado el riesgo con mod_php: demostró un ataque que puede activarse antes de que empiece a ejecutarse el código de la aplicación. Eso explica por qué actualizar solamente un administrador de contenidos o un complemento no reemplaza el parche de PHP. Alerta del proyecto.
Es fundamental distinguir conceptos: una vulnerabilidad no prueba que un sitio haya sido comprometido. Tampoco permite afirmar, por sí sola, que millones de páginas fueron hackeadas. La exposición potencial y los incidentes confirmados son cosas distintas.
Qué versiones contienen las correcciones
Las versiones corregidas publicadas para las ramas con soporte son:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Dentro de esas ramas, las versiones anteriores requieren actualización o un paquete del proveedor que incorpore las correcciones. Los avisos técnicos detallan los límites afectados. Versiones afectadas y corregidas.
En cPanel hay dos frentes diferentes: el PHP que utilizan los sitios y el PHP interno del panel. El proveedor publicó actualizaciones para ambos, además de correcciones adaptadas para determinadas ramas antiguas de EasyApache. Comunicado oficial de cPanel.
Qué hacer si tenés una web
Mi recomendación es convertir la alerta en una verificación concreta:
- Consultá al hosting qué versión y paquete utiliza cada sitio. No te quedes con un “está actualizado” sin detalles.
- Pedí confirmación de las dos correcciones. Los proveedores pueden aplicar parches sin adoptar exactamente la numeración del lanzamiento original.
- Verificá que la actualización esté en uso. Instalar un paquete y comprobar qué ejecutan los servicios son controles diferentes.
- Probá las funciones importantes: acceso, formularios, compras y envío de correos.
- Si aparecen indicios de intrusión, solicitá una revisión específica. Actualizar no demuestra que nunca haya ocurrido un incidente.
No conviene copiar cambios de configuración improvisados ni interpretar una medida temporal como solución definitiva. PHP advierte que las mitigaciones parciales no sustituyen la actualización.
La conclusión es simple: menos alarma, más verificación. Saber qué versión está funcionando y quién responde por su mantenimiento vale mucho más que asumir que todo está bien porque la página carga.
0 comentarios