# Cloudflare filtra ataques contra dos fallas de PHP antes del parche > El firewall suma una barrera temporal ante vulnerabilidades que podrían permitir desde bloqueos del servidor hasta ejecución de código; actualizar PHP sigue siendo necesario. Por Osmel C.L. · 21 de octubre de 2026 · Tecnología ![Primer plano de código HTML y PHP en pantalla que muestra un mensaje de error y datos del formulario de inicio de sesión.](https://cdn.panorama.onl/uploads/5259597703b233d5-scaled.webp) Cloudflare informó que el 21 de octubre de 2026 activó por defecto reglas de su firewall de aplicaciones web para mitigar dos vulnerabilidades críticas de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. La compañía dijo que la cobertura alcanza a sus clientes con ese servicio, tanto gratuitos como de pago, antes de la publicación de los parches prevista para el día siguiente. > Ver la publicación original en X ## Las fallas pueden afectar la memoria de PHP Según Cloudflare, solicitudes HTTP especialmente diseñadas podrían aprovechar errores de manejo de memoria y causar denegación de servicio, exposición de datos o ejecución remota de código. La primera vulnerabilidad se relaciona con una falta de memoria que deja datos internos sin inicializar; la segunda, con referencias a memoria liberada después de que un error fatal interrumpe una solicitud. La firma de seguridad Huntress indicó que se preparaban parches de emergencia y que aún no se había divulgado la lista de versiones afectadas. Su [análisis de las vulnerabilidades php2shell](https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities) situó la publicación de las correcciones para el 22 de octubre de 2026. Los administradores deben consultar el aviso del proyecto PHP para identificar las versiones y seguir las instrucciones de actualización. Cloudflare afirma que PHP se utiliza en casi el 70% de los sitios web y que sirve de base a plataformas como WordPress y Magento. La compañía advierte que actualizar el código de un sitio o sus complementos no corrige una falla del propio entorno de ejecución. ## El cortafuegos no reemplaza la actualización Cloudflare recomendó mantener habilitado el firewall mientras se instalan los parches y restringir las cargas de archivos innecesarias, así como sus tamaños cuando corresponda. La empresa presenta estas medidas como una reducción de la exposición: la corrección definitiva requiere actualizar PHP. La compañía dijo que comenzó a desplegar las mitigaciones a principios de octubre y que observó tráfico de ataque dirigido a sus clientes. También afirmó que las reglas se habilitaron automáticamente para los planes que cuentan con el firewall de aplicaciones web. Para los planes Professional, Business y Enterprise, indicó que se debe comprobar que el conjunto administrado esté en modo de bloqueo. Cloudflare explicó que sus nuevas reglas analizan señales de la solicitud y de la respuesta en una misma transacción HTTP. Según la empresa, ese análisis puede ayudar a distinguir intentos de explotación del tráfico legítimo y bloquear una respuesta del servidor antes de que llegue a quien hizo la petición. La firma recomendó instalar las actualizaciones de PHP tan pronto como estén disponibles. --- **Fuente:** https://panorama.onl/tecnologia/cloudflare-filtra-ataques-contra-dos-fallas-de-php-antes-del-parche-20261021-1053.html Publicado por Panorama Online — contenido de libre lectura; se permite citar con atribución y enlace a la URL original.