# Dos fallas críticas en PHP activan alertas de ciberseguridad

> Las vulnerabilidades permiten ejecutar instrucciones en servidores sin cuenta ni contraseña. PHP ya publicó parches y pidió actualizar de inmediato.

Por Yorbeth N.C. · 21 de octubre de 2026 · Tecnología

![Persona escribiendo en una laptop con pegatinas de código, simbolizando el trabajo remoto y el trabajo freelance.](https://cdn.panorama.onl/uploads/8690a9d8e40047bf-scaled.webp)

Dos vulnerabilidades críticas en PHP encendieron este miércoles 21 de octubre las alertas de organismos de ciberseguridad de varios países. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación de gravedad de 9,2 sobre 10.

El equipo de desarrollo de PHP publicó las versiones corregidas en su [archivo de actualizaciones de 2026](https://www.php.net/archive/2026.php?). La división de ciberseguridad del FBI recomendó a las organizaciones instalar los parches de inmediato o desconectar temporalmente de Internet los sistemas que no pudieran actualizarse.

## Qué riesgo generan

PHP es un lenguaje que trabaja en los servidores y permite procesar formularios, manejar sesiones, consultar bases de datos y generar contenido dinámico. Las dos fallas podrían permitir que un atacante ejecute instrucciones en un servidor sin necesidad de tener una cuenta o una contraseña, con riesgo para la información almacenada y otros sistemas conectados.

![Dos fallas críticas en PHP activan alertas de ciberseguridad](https://cdn.panorama.onl/uploads/8afb36140c9c4f74-1024x683.webp)

La primera, CVE-2026-109618, está vinculada con un error de gestión de memoria que puede hacer que PHP maneje mal datos internos. La segunda, CVE-2026-109619, se relaciona con el uso indebido de información de memoria que ya debía haber sido descartada. En ambos casos, el escenario más delicado es la ejecución remota de código sin autenticación.

La documentación técnica también indica que se demostró un método de explotación sin autenticación contra una configuración de Apache con mod_php. En ese caso, el ataque puede ocurrir antes de que se ejecute el código de la aplicación web.

## Países que tomaron medidas

La alerta tuvo impacto sobre todo en Europa. En Bélgica, Países Bajos, Alemania, Francia y Finlandia se reportaron desconexiones preventivas de sitios gubernamentales y otros servicios digitales. Japón también pidió a los operadores de páginas web que revisaran si usan PHP y se prepararan para instalar las correcciones.

![Dos fallas críticas en PHP activan alertas de ciberseguridad](https://cdn.panorama.onl/uploads/a6b4a926c5dbb137-1024x683.webp)

Las interrupciones de servicios no significan necesariamente que esos sitios hayan sido comprometidos. También se detectó tráfico de ataque dirigido contra clientes de Cloudflare, pero eso por sí solo no prueba una intrusión exitosa.

## Versiones que deben actualizarse

Las versiones corregidas publicadas el 21 de octubre son PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 y PHP 8.2.35. Los administradores deben revisar qué versión está instalada en sus servidores y aplicar la correspondiente.

PHP 8.1 y anteriores requieren atención especial porque están fuera del soporte oficial del proyecto. Aun así, algunos proveedores de Linux y servicios de soporte extendido pueden distribuir sus propias actualizaciones de seguridad. La corrección debe instalarse en el entorno que ejecuta PHP, no solo en la plataforma visible para los usuarios.

---

**Fuente:** https://panorama.onl/tecnologia/dos-fallas-criticas-en-php-activan-alertas-de-ciberseguridad-20261021-1506.html
Publicado por Panorama Online — contenido de libre lectura; se permite citar con atribución y enlace a la URL original.