PHP programa una corrección de emergencia para dos fallas críticas de 9.2

El equipo de seguridad de PHP publicará una versión de seguridad fuera de ciclo a las 14:00 UTC del 21 de octubre de 2026, para dos fallas que califica como críticas. Los investigadores dicen que los errores permiten la ejecución remota de código, y los detalles se filtraron un día antes. Cualquiera que use PHP debe estar listo para aplicar el parche en cuanto salga la versión.

PHP es el lenguaje detrás de WordPress, Drupal y una gran parte del código de servidor de la web. Una versión fuera de ciclo es la que sale fuera del calendario normal de versiones del proyecto, algo que PHP reserva para correcciones urgentes.

Qué ha anunciado el equipo de seguridad de PHP

El aviso de PHP.net, publicado el 20 de octubre, dice poco a propósito. Nombra dos vulnerabilidades y califica cada una con 9.2 en CVSS v4.0, la escala estándar de gravedad de 0 a 10. No da números CVE, ni descripción, ni números de versión. Las versiones afectadas y corregidas "se publicarán con la versión", dice el aviso.

El equipo también se dejó margen para actuar más rápido. Dice que puede publicar antes si los detalles se hacen públicos o si empiezan los ataques. "Se anima a todos los usuarios de PHP a prepararse ahora para poder actualizar en cuanto la versión esté disponible", dice el aviso.

LWN, un veterano sitio de noticias sobre Linux y código abierto, difundió la advertencia el mismo día. Pidió a todo el que tenga un sitio en PHP que se prepare para la actualización.

Qué se filtró y qué sigue sin confirmar

The Hacker News informa de que los investigadores llaman a la pareja "php2shell", un nombre que PHP no usó. La empresa de seguridad watchTowr dice que las fallas permiten la ejecución remota de código, es decir, que un atacante podría ejecutar comandos en el servidor. El 20 de octubre, watchTowr dijo en X que una filtración sobre ellas era real. Añadió que las fallas estaban bajo embargo, un periodo en el que los detalles se mantienen privados hasta que sale una corrección.

Esa filtración fue una publicación en Hacker News, el foro tecnológico. Decía que la divulgación estaba prevista para el jueves 22 de octubre, y afirmaba que todas las versiones desde PHP 5 en adelante están afectadas. Ese alcance no está confirmado. En palabras de las preguntas frecuentes de watchTowr, "no ha sido confirmado por un aviso oficial del proveedor".

Los investigadores asocian dos identificadores a las fallas: CVE-2026-109618 y CVE-2026-109619. El aviso de PHP no nombra ninguno.

Un análisis autopublicado en jackalsyn.com, de un investigador que usa el nombre J4ck3LSyN, vincula esos identificadores a un error de tipo use-after-free en session.upload_progress. Un use-after-free ocurre cuando un programa sigue usando memoria que ya ha liberado. La función en sí sigue el progreso de la subida de archivos en la sesión de un usuario.

Ese análisis da a sus propios hallazgos una calificación muy inferior a la de PHP: 5.3, o Medium, para una vía y 0.0 para otra. Solo reprodujo el error en Apache con mod_php en modo prefork, y no mostró ejecución de código. Nada confirma que describa los mismos errores que PHP calificó con 9.2.

Qué versiones de PHP recibirán correcciones

The Hacker News dice que solo las ramas con soporte, de 8.2 a 8.5, recibirán correcciones. Alpine Linux y el investigador de seguridad Kevin Beaumont siguen los números de versión esperados, que PHP no ha confirmado.

Rama	Versión actual	Estado del soporte	Corrección esperada (sin confirmar)
PHP 8.5	8.5.11	Soporte activo hasta el 31 de diciembre de 2027	8.5.12
PHP 8.4	8.4.26	Soporte activo hasta el 31 de diciembre de 2026	8.4.27
PHP 8.3	8.3.35	Solo correcciones de seguridad hasta el 31 de diciembre de 2027	8.3.36
PHP 8.2	8.2.34	Solo correcciones de seguridad hasta el 31 de diciembre de 2026	8.2.35
PHP 8.1 y anteriores	n/a	Fin de vida	Sin corrección de PHP

Las ramas antiguas son una gran parte de la web. Un recuento de Shodan hecho por Mallory el 20 de octubre, citado por The Hacker News, encontró unos 884.000 hosts expuestos a internet que indicaban PHP 8.1 o anterior. Eso es el 59% de alrededor de 1,5 millones de hosts que indican alguna versión. Unos 740.000 más indican PHP sin versión. Son recuentos de banners, no sistemas vulnerables confirmados.

No se han reportado ataques hasta ahora. Huntress, una empresa de seguridad, no había visto explotación a fecha del 20 de octubre y no conocía código de explotación público. Las fallas no están en la lista de vulnerabilidades explotadas conocidas de CISA. Ese margen puede ser corto: Akamai vio intentos de ataque en las 24 horas siguientes a que CVE-2024-4577, una falla anterior de PHP, se hiciera pública en junio de 2024.

Qué significa para los desarrolladores

Encuentra primero cada copia de PHP. Huntress y CERT-EU aconsejan un inventario que incluya las copias empaquetadas, como PHP dentro de imágenes de contenedor, appliances y paneles de alojamiento. El servidor que olvidaste es el que recibe el ataque.

Parchea primero los sistemas expuestos a internet, en cuanto la versión aparezca a las 14:00 UTC. Ya se publicó como PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si instalas PHP desde una distribución de Linux o desde una imagen base de contenedor, comprueba cuándo publica esa fuente su paquete recompilado. Puede ir por detrás de php.net.

Planifica ya las ramas en fin de vida. PHP 8.1 y anteriores no recibirán corrección del proyecto. CERT-EU aconseja "considerar aislar de las redes públicas las aplicaciones expuestas a internet hasta que haya una corrección disponible". Las otras opciones son actualizar, una VPN o un firewall de aplicaciones web delante del sitio.

Trata con cuidado la solución alternativa no oficial. El análisis de jackalsyn.com sugiere configurar session.upload_progress.enabled = Off. PHP no ha publicado ninguna solución alternativa, y ese análisis puede no describir los errores que PHP está corrigiendo. La mayoría de las aplicaciones no necesitan esa opción salvo que muestren barras de progreso de subida, así que desactivarla es un parche provisional barato, no una corrección.

Vigila señales de compromiso esta semana. The Hacker News transmite la recomendación de generar una alerta cuando un proceso de PHP inicie una shell o una herramienta de descarga. Las aplicaciones PHP han tenido un mes movido: Drupal publicó el 14 de octubre una corrección para una falla crítica en Field UI.