Santiago 21 de octubre de 2026 – Una actualización de emergencia moviliza este miércoles a administradores de servidores, proveedores de alojamiento y equipos de ciberseguridad. El proyecto PHP publicó correcciones para dos vulnerabilidades críticas que pueden permitir a un atacante ejecutar código remotamente sin autenticación, comprometiendo los sistemas que utilizan este lenguaje para atender solicitudes web. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una calificación de 9,2 sobre 10 en CVSS 4.0. Su gravedad llevó a CERT-EU, el equipo de respuesta ante incidentes de las instituciones de la Unión Europea, a recomendar el parcheo inmediato y, cuando esto no sea posible, considerar el aislamiento de las aplicaciones expuestas a internet hasta aplicar y verificar la corrección.
Por qué el impacto puede ser tan importante
PHP funciona detrás de numerosos sitios y aplicaciones: procesa solicitudes y genera contenido que después recibe el navegador. Una vulnerabilidad en esta capa puede comprometer la seguridad de una plataforma incluso cuando sus desarrolladores han protegido correctamente el código de la aplicación.
El equipo de PHP advierte que están en riesgo las instalaciones que atienden solicitudes web, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Considera especialmente expuesta la configuración con mod_php, para la cual existe una explotación demostrada que puede activarse antes de que comience a ejecutarse el código de la aplicación.
En términos prácticos, ejecutar código remotamente significa que un atacante podría realizar acciones dentro del servidor con los permisos del proceso comprometido. Dependiendo de sus privilegios y accesos, esto puede abrir la posibilidad de alterar contenidos, acceder a información o utilizar el sistema como punto de entrada para otras acciones maliciosas. El impacto potencial trasciende, por tanto, la disponibilidad de una página: también puede afectar la confidencialidad de los datos y la integridad del servicio.
Qué ocurre con las dos vulnerabilidades
La primera falla, CVE-2026-109618, está relacionada con el manejo de errores por agotamiento de memoria. Bajo determinadas condiciones, PHP puede interrumpir una solicitud mientras sus estructuras internas todavía están parcialmente inicializadas. Durante la limpieza posterior, esa información puede ser tratada incorrectamente, generando corrupción de memoria y posibilitando la ejecución remota de código.
La segunda, CVE-2026-109619, involucra información interna de una solicitud que permanece referenciada después de liberar la memoria que la contenía. Si el mismo proceso atiende otra solicitud, puede acceder a ese estado obsoleto. El aviso técnico confirma que una explotación preparada puede alcanzar ejecución remota de código.
La existencia de estas vulnerabilidades no demuestra que todos los servidores expuestos hayan sido comprometidos. Sin embargo, CERT-EU informó que ya circulan detalles técnicos y pruebas de concepto, lo que incrementa la urgencia de cerrar la exposición.
Actualizar PHP y verificar al proveedor
La medida prioritaria es instalar la versión corregida correspondiente a cada rama. En servidores que utilizan paquetes de una distribución Linux, debe verificarse el aviso del proveedor: algunas distribuciones incorporan la corrección mediante actualizaciones de sus propios paquetes. Para PHP 8.1 y versiones anteriores, que ya no reciben mantenimiento ordinario del proyecto, corresponde consultar la disponibilidad de correcciones del proveedor o migrar a una versión con soporte.
Esto exige revisar el entorno donde funciona el sitio. Actualizar únicamente WordPress, sus temas o complementos no equivale a actualizar PHP: la corrección debe alcanzar al intérprete instalado en el servidor. Si el alojamiento está externalizado, la organización debe solicitar al proveedor confirmación de la actualización y de los sistemas cubiertos.
Como medidas transitorias, PHP publicó ajustes para reducir determinadas vías de ataque. No obstante, advierte expresamente que estas configuraciones no hacen segura una instalación vulnerable y que solo la actualización entrega una solución completa.
En Chile, la Agencia Nacional de Ciberseguridad (ANCI) difundió información sobre las dos vulnerabilidades críticas de PHP a través de su página oficial en el siguiente LINK: ANCI.
