Dos vulnerabilidades críticas afectan a las principales ramas de PHP y podrían permitir a un atacante ejecutar código de forma remota sin autenticación. La actualización debe tratarse como prioritaria en cualquier servidor expuesto.
Qué ha ocurrido
INCIBE ha publicado un aviso de nivel crítico sobre las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS de 9,2. Su explotación podría permitir la ejecución remota de código sin necesidad de autenticación previa.
El impacto potencial incluye el compromiso del servidor, el acceso a información sensible, la modificación de aplicaciones y el uso de la infraestructura afectada para nuevas acciones maliciosas.
Qué instalaciones están afectadas
El aviso afecta a las principales ramas mantenidas de PHP. Se consideran vulnerables las versiones anteriores a:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones ordinarias del proyecto, aunque algunos distribuidores podrían proporcionar correcciones específicas. Las configuraciones con FPM, Apache mod_php, php-cgi, FrankenPHP o LiteSpeed deben revisarse, con especial atención a los entornos que utilizan mod_php.
Qué debe hacer una organización ahora
- Inventariar los activos que ejecuten PHP, incluidos servidores web, paneles, aplicaciones internas, entornos de preproducción y servicios expuestos a Internet.
- Comprobar la versión instalada y contrastarla con las versiones corregidas.
- Actualizar con prioridad a PHP 8.2.35, 8.3.36, 8.4.27 o 8.5.12, según la rama utilizada.
- Revisar registros y telemetría en busca de comportamientos anómalos o indicios de explotación.
- Validar el funcionamiento de las aplicaciones después de aplicar la actualización.
¿Y si no se puede actualizar inmediatamente?
Las medidas temporales pueden reducir la superficie de exposición, pero no sustituyen la instalación de las versiones corregidas. Mientras se completa la actualización, conviene limitar el acceso a los servicios afectados, reforzar las reglas del WAF, revisar la configuración de PHP y aumentar la monitorización.
Si una aplicación depende de una rama sin soporte, debe planificarse su migración. Mantener componentes fuera de soporte convierte cada nueva vulnerabilidad en un riesgo más difícil y costoso de gestionar.
El problema no termina con este parche
Este aviso vuelve a poner de manifiesto la importancia de mantener un inventario fiable de activos y un proceso continuo de gestión de vulnerabilidades. No basta con reaccionar ante cada alerta: es necesario saber qué tecnologías se utilizan, quién es responsable de ellas y cuánto tiempo puede permanecer una vulnerabilidad abierta.
En PROTEO abordamos este trabajo como un ciclo permanente. Puedes ampliar información en nuestra guía sobre gestión de vulnerabilidades y cierre de brechas.
Recomendación de PROTEO
Actualiza de forma prioritaria todos los servidores PHP afectados y verifica después que la corrección se ha aplicado correctamente. Si necesitas ayuda para identificar la exposición, priorizar activos o coordinar la remediación, contacta con PROTEO.
Fuente principal: INCIBE-CERT — Múltiples vulnerabilidades en PHP.
