PHP publicó el 21 de octubre un aviso de seguridad con correcciones para dos vulnerabilidades críticas que permiten ejecución remota de código sin autenticación en servidores web. Ese mismo día, la División Cibernética del FBI pidió actualizar de inmediato y, si no era posible hacerlo enseguida, inventariar dónde corre PHP y considerar sacar el sistema de línea hasta aplicar mitigaciones.

Qué versiones quedan expuestas

Las fallas identificadas como CVE-2026-109618 y CVE-2026-109619 afectan a instalaciones que atienden peticiones web con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP indicó que el riesgo es mayor en mod_php, donde existe un exploit demostrado que puede activarse con una sola petición sin autenticar antes de que se ejecute cualquier código de la aplicación.

Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1 y anteriores no reciben una versión oficial del proyecto. Para quienes compilan PHP por su cuenta, PHP publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1. La recomendación principal sigue siendo migrar a una rama que tenga soporte.

El aviso del proyecto explica que una de las fallas se relaciona con corrupción por falta de memoria y la otra con un estado global obsoleto que puede sobrevivir después de liberarse su memoria. Ambas aparecen con puntuación CVSS 9.2 en la base NVD, y permiten tomar el control del servidor sin autenticación.

PHP también advirtió que están en riesgo todas las instalaciones que atienden solicitudes web, y que en estos casos puede ser necesario revisar tanto la versión de la línea de comandos como la del servidor web, porque no siempre coinciden.

Como medida de contención, el FBI y CERT-EU recomendaron mantener vigilancia sobre procesos inusuales, revisar si hay señales de compromiso y aislar de internet los sistemas expuestos hasta parchearlos. CERT-EU también señaló que ya circulan las primeras pruebas de concepto.

Entre las mitigaciones parciales, PHP menciona limitar la exposición con ajustes como memory_limit=-1, un post_max_size bajo y session.upload_progress.enabled=0, aunque advierte que esas medidas no vuelven segura la instalación. Para identificar software que incorpora PHP, CERT-EU enlazó el repositorio php2shell. El FBI, además, recomendó consultar el catálogo KEV de CISA y reportar incidentes al Centro de Denuncias de Delitos en Internet.

El aviso oficial de PHP está disponible en su archivo de seguridad del 21 de octubre de 2026, y el FBI difundió su alerta en X.