Cloudflare informó que el 21 de octubre de 2026 activó por defecto reglas de su firewall de aplicaciones web para mitigar dos vulnerabilidades críticas de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. La compañía dijo que la cobertura alcanza a sus clientes con ese servicio, tanto gratuitos como de pago, antes de la publicación de los parches prevista para el día siguiente.

Las fallas pueden afectar la memoria de PHP

Según Cloudflare, solicitudes HTTP especialmente diseñadas podrían aprovechar errores de manejo de memoria y causar denegación de servicio, exposición de datos o ejecución remota de código. La primera vulnerabilidad se relaciona con una falta de memoria que deja datos internos sin inicializar; la segunda, con referencias a memoria liberada después de que un error fatal interrumpe una solicitud.

La firma de seguridad Huntress indicó que se preparaban parches de emergencia y que aún no se había divulgado la lista de versiones afectadas. Su análisis de las vulnerabilidades php2shell situó la publicación de las correcciones para el 22 de octubre de 2026. Los administradores deben consultar el aviso del proyecto PHP para identificar las versiones y seguir las instrucciones de actualización.

Cloudflare afirma que PHP se utiliza en casi el 70% de los sitios web y que sirve de base a plataformas como WordPress y Magento. La compañía advierte que actualizar el código de un sitio o sus complementos no corrige una falla del propio entorno de ejecución.

El cortafuegos no reemplaza la actualización

Cloudflare recomendó mantener habilitado el firewall mientras se instalan los parches y restringir las cargas de archivos innecesarias, así como sus tamaños cuando corresponda. La empresa presenta estas medidas como una reducción de la exposición: la corrección definitiva requiere actualizar PHP.

La compañía dijo que comenzó a desplegar las mitigaciones a principios de octubre y que observó tráfico de ataque dirigido a sus clientes. También afirmó que las reglas se habilitaron automáticamente para los planes que cuentan con el firewall de aplicaciones web. Para los planes Professional, Business y Enterprise, indicó que se debe comprobar que el conjunto administrado esté en modo de bloqueo.

Cloudflare explicó que sus nuevas reglas analizan señales de la solicitud y de la respuesta en una misma transacción HTTP. Según la empresa, ese análisis puede ayudar a distinguir intentos de explotación del tráfico legítimo y bloquear una respuesta del servidor antes de que llegue a quien hizo la petición. La firma recomendó instalar las actualizaciones de PHP tan pronto como estén disponibles.