Dos vulnerabilidades permiten potencialmente ejecutar código remoto sin autenticación. PHP y organismos de ciberseguridad recomiendan actualizar de inmediato.

No es un problema de una web concreta

Dos fallos del motor de PHP, identificados como CVE-2026-109618 y CVE-2026-109619, obligan a revisar servidores que ejecutan este lenguaje de programación. El equipo de PHP publicó correcciones el 21 de octubre y la agencia europea ENISA difundió una alerta coordinada. En determinados escenarios, un atacante no autenticado podría aprovechar errores de gestión de memoria y alcanzar la ejecución remota de código. La severidad atribuida es crítica, con una valoración CVSS de 9,2 en las advertencias técnicas.

PHP está presente detrás de numerosos sitios web, gestores de contenidos y servicios internos. Por eso el riesgo no depende solamente de si un usuario utiliza determinada página: también importa cómo fue configurado el servidor, qué versión ejecuta y qué componentes exponen solicitudes a internet.

Versiones corregidas y pasos útiles

Las ramas con versiones corregidas incluyen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los sistemas que todavía usan versiones sin soporte, como PHP 8.1 o anteriores, requieren un plan de migración o los parches que pueda proveer un soporte extendido fiable. El aviso del equipo PHP advierte que no existe una mitigación completa equivalente a actualizar.

Para los administradores, la comprobación práctica comienza inventariando aplicaciones y entornos —también contenedores, proveedores de hosting y paneles que empaquetan PHP—, comparando versiones y aplicando las actualizaciones de seguridad publicadas. Después es necesario validar las funciones afectadas y revisar registros, especialmente cuando hay servicios públicos expuestos. Una actualización de una sola instancia no protege necesariamente todos los servidores de una organización.

Lo que no significa esta alerta

La publicación de una vulnerabilidad crítica no demuestra que todos los sitios PHP hayan sido atacados ni que exista una filtración generalizada. Sí marca un plazo de respuesta urgente. La información principal procede de PHP, ENISA y avisos de proveedores, no de rumores en redes.

Fuentes y documentos

Revisión editorial: hechos comprobados con información disponible el 22 de octubre de 2026. Revisar cambios antes de publicar.