PHP publica un aviso de seguridad tras detectar un fallo crítico
PHP ha publicado un aviso de seguridad para dos fallos críticos detectados. El antiguo código del lenguaje que funciona detrás de buena parte de internet, permitía a un atacante dar órdenes a un servidor desde fuera. Los detalles se filtraron antes de que existiera el parche. Hoy ya hay actualizaciones, y lo importante es aplicarlas para no sufrir un ataque.
El aviso de PHP es urgente:
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código no autenticado. Se recomienda encarecidamente a todos los usuarios de PHP actualizar de inmediato.
Qué es PHP y por qué te afecta, aunque no programes
PHP es un lenguaje que se ejecuta en el servidor de una web: genera las páginas, habla con las bases de datos y hace funcionar la lógica interna antes de que tú veas nada en el navegador. Es una pieza que casi nadie ve, pero está en una enorme cantidad de sitios, incluidos los creados con gestores como WordPress. Si PHP tiene un agujero, lo tienen los sitios que lo usan.
Cronología de sucesos:
20 de octubre: El equipo de seguridad de PHP avisó de que publicará una actualización de emergencia al día siguiente, para corregir dos fallos críticos.
20 de octubre: Los detalles de las vulnerabilidades se filtraron antes de la fecha prevista de divulgación, según la empresa de seguridad watchTowr, que dice haber reproducido uno de los fallos.
21 de octubre: PHP publica las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen los dos problemas.
La filtración es lo que dio urgencia al asunto: durante unas horas se conocía la existencia de los fallos sin que hubiera una solución publicada.
¿Qué podría hacer un atacante con el fallo de PHP?
Los dos fallos son de «ejecución remota de código». Dicho de forma sencilla: bajo ciertas condiciones, alguien desde internet podría hacer que el servidor ejecute órdenes que no son suyas, sin necesidad de contraseña. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advierte de que podría ocurrir en cualquier servidor web que ejecute PHP.
| Fallo | Qué ocurre, en palabras simples |
|---|---|
| CVE-2026-109618 | Cuando al servidor se le acaba la memoria, PHP puede quedarse a medias con datos de una petición sin terminar de preparar, y al limpiar luego trata esos datos como si fueran válidos. Esa corrupción puede aprovecharse. |
| CVE-2026-109619 | Información interna de una petición puede seguir existiendo cuando la memoria que la respaldaba ya se ha liberado. Una petición posterior atendida por el mismo proceso podría usar ese resto antes de que se reinicie. |
El fallo no depende de que la web sea antigua o esté mal programada: afecta a PHP en sí.
¿A quién afecta el fallo de PHP?
Según el NCSC, a las organizaciones que usan cualquier versión de PHP. Incluso quienes usan versiones antiguas, que ya no reciben soporte, deberían pasar a una versión que sí lo tenga. El riesgo también alcanza a productos que incluyen PHP por dentro, como algunos paneles y aparatos de red.
Qué hacer si administras una web o un servidor
- Averigua qué versión de PHP usas. En hosting compartido, consúltalo en el panel o pregunta a tu proveedor.
- Actualiza a una versión corregida, o confirma con tu proveedor que ya lo ha hecho.
- Si aún no puedes actualizar, aplica las medidas temporales que ha indicado el equipo de PHP en su aviso oficial.
- Si tampoco puedes aplicar esas medidas, el NCSC recomienda valorar poner el sistema fuera de línea hasta resolverlo.
Medidas temporales, según el aviso del organismo español INCIBE
- Para CVE-2026-109618: ajustar el parámetro memory_limit a -1 en la configuración del servidor. Un valor como 128M no elimina el problema.
- Para CVE-2026-109619: desactivar session.upload_progress.enabled y reiniciar todos los procesos. En PHP 8.5, desactivar también fatal_error_backtraces.
Si solo eres visitante de webs, no tienes que instalar nada: el trabajo corresponde a quienes administran los sitios. Lo razonable es que ellos actualicen cuanto antes.
Las fuentes no coinciden en todo. La empresa watchTowr cree que los fallos afectan a las ramas 5, 6, 7 y 8 de PHP, mientras que el organismo español INCIBE habla de parches previstos también para las ramas 7.4, 8.0 y 8.1, que no estaban entre las versiones publicadas al cierre de este artículo. En cuanto a ataques reales, INCIBE señala que se han comunicado ataques contra servidores PHP antes de las actualizaciones, pero sin precisar cuál de los dos fallos se usó. Conviene consultar siempre el aviso oficial de PHP.
