El equipo de seguridad de PHP anunció una actualización de seguridad para el miércoles 21 de octubre a las 14:00 UTC (11:00 en Argentina).
Corrige dos vulnerabilidades críticas, ambas con una severidad de 9,2 en CVSS v4.0. El aviso pide a todos los usuarios de PHP que se preparen para actualizar apenas salga el parche.
Qué dijo el equipo de PHP
El aviso publicado en php.net el 20 de octubre es breve. Confirma la fecha, la cantidad de fallas y su severidad, y nada más.
Los detalles técnicos, las versiones afectadas y las versiones corregidas se van a publicar junto con el release. El equipo también aclaró que se reserva el derecho de adelantarlo si se hacen públicos los detalles o si aparece evidencia de explotación activa.
Por qué el aviso llegó con tanta urgencia
Las dos fallas estaban bajo embargo: el período en el que los responsables preparan el arreglo en reserva antes de contar el problema.
Según BleepingComputer, un usuario publicó en Hacker News que las vulnerabilidades se iban a divulgar el 22 de octubre, con CVSS 10 y afectando a PHP desde la versión 5. Ese post fue borrado después.
La empresa de seguridad watchTowr confirmó que las fallas son reales y dijo haber reproducido una de ellas. Las identificó como CVE-2026-109618 y CVE-2026-109619, los mismos números que circulaban en el post filtrado.
Qué se sabe y qué no
Confirmado por el equipo de PHP:
- Son dos vulnerabilidades, ambas con CVSS v4.0 de 9,2.
- El parche sale el 21 de octubre a las 14:00 UTC, o antes si la situación lo exige.
Atribuido a terceros, sin confirmación oficial todavía:
- Que se trata de fallas de ejecución remota de código (RCE): un atacante podría correr código propio en el servidor.
- Que afectan a PHP 5, 7 y 8, según watchTowr y el post filtrado.
- La severidad de 10 que mencionaban esas fuentes. El dato oficial es 9,2.
Por ahora no hay reportes de explotación activa ni código de prueba público, y las fallas no figuran en el catálogo KEV de CISA.
El problema de las versiones sin soporte
Según la tabla oficial de versiones, hoy PHP solo mantiene las ramas 8.2, 8.3, 8.4 y 8.5. La 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026.
Si las fallas efectivamente vienen desde PHP 5, las instalaciones en 8.1 o anteriores no van a recibir un parche oficial. Eso incluye muchos sistemas legacy, sitios de WordPress viejos y aplicaciones internas que nadie actualizó en años.
Algunas distribuciones Linux con soporte extendido suelen portar estos arreglos a sus propios paquetes. Conviene revisar los avisos de la distribución que usen.
Qué hacer antes del miércoles
- Inventario: listar dónde corre PHP, incluidos los sitios de WordPress, Moodle o Drupal, las imágenes de contenedores y los servidores de hosting compartido.
- Versiones: anotar qué versión usa cada instalación (
php -v) y marcar las que están fuera de soporte. - Ventana de cambio: dejar lista la actualización para el 21 de octubre, empezando por lo que está expuesto a internet.
- Imágenes base: si usan contenedores, planificar la reconstrucción con la imagen oficial actualizada apenas esté disponible.
- Hosting administrado: preguntarle al proveedor cuándo va a aplicar el parche.
Y no actuar sobre detalles que no estén confirmados: el aviso con las versiones corregidas sale con el release.
¿Saben cuántos PHP tienen corriendo?
¿Ya tienen el inventario o este aviso los agarró con sistemas que nadie recuerda? Te leemos en los comentarios.
Fuentes
- php.net: Upcoming Critical PHP Security Release.
- php.net: Supported Versions.
- BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow.
- watchTowr: PHP Remote Code Execution FAQ.
