PHP crítico: dos fallos RCE CVSS 9,2 y parches de emergencia

PHP en el punto de mira: dos vulnerabilidades críticas permiten RCE sin autenticación

La Fundación PHP ha publicado parches de emergencia para dos fallos críticos que afectan al lenguaje de programación del lado del servidor más utilizado en Internet. Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación CVSS de 9,2 y permiten a un atacante remoto no autenticado ejecutar código arbitrario en el servidor. La alerta ha provocado que algunos sitios gubernamentales de Europa, como los de Países Bajos y Finlandia, hayan dejado de estar disponibles de forma preventiva, y en España INCIBE-CERT ha calificado la situación como crítica.

El primer fallo, CVE-2026-109618, se produce por una corrupción de memoria durante la gestión de falta de memoria (OOM), una situación que ocurre cuando el sistema agota la RAM y el espacio de intercambio. El segundo, CVE-2026-109619, permite la ejecución remota de código debido a un estado global obsoleto que se reutiliza en solicitudes posteriores dentro del mismo trabajador. Ambos afectan a componentes centrales de PHP, como la gestión de memoria y el manejo de errores, lo que los hace extremadamente graves y difíciles de corregir sin comprometer la compatibilidad o el rendimiento.

¿Qué versiones están afectadas y cómo protegerse?

La Fundación PHP ha publicado versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para las ramas antiguas 7.4, 8.0 y 8.1 se han publicado parches de código fuente retroportados, aunque se recomienda migrar a una rama mantenida. Las instalaciones que atienden solicitudes web están en riesgo, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es especialmente alto en mod_php, donde una solicitud no autenticada puede desencadenar el ataque antes de que se ejecute el código de la aplicación.

INCIBE-CERT insta a actualizar PHP de inmediato y advierte de que, aunque existen medidas temporales para reducir la exposición, la actualización es la única solución completa. Si un servidor expuesto a Internet no puede actualizarse, se recomienda aislarlo de las redes públicas hasta aplicar la corrección. Además, los proveedores de Linux y de soporte a largo plazo (LTS) recibieron los parches con antelación, por lo que las organizaciones deben consultar con sus proveedores acerca de las correcciones disponibles.

El impacto no se limita a los sitios web. PHP está integrado en aparatos, dispositivos de red, interfaces de gestión y otros productos de proveedores en los que los administradores podrían no ser capaces de actualizar PHP directamente. CERT-EU también ha advertido de que muchos productos comerciales y de código abierto utilizan PHP como tecnología de backend y podrían verse afectados aunque no expongan directamente una instalación de PHP. Esto amplía considerablemente la superficie de ataque.

Recomendaciones para pymes y equipos de IT

Ante una vulnerabilidad de esta magnitud, la prioridad es identificar todos los sistemas que ejecutan PHP y actualizarlos cuanto antes. No basta con revisar la web corporativa; hay que localizar cualquier aplicación, API, panel de administración o dispositivo que utilice PHP como backend. Para ello, recomendamos:

• Inventariar todas las instalaciones de PHP, incluyendo las que forman parte de appliances y productos de terceros.
• Actualizar a las versiones corregidas (8.5.12, 8.4.27, 8.3.36 o 8.2.35) o aplicar los parches retroportados si se usa una rama antigua.
• Consultar con el proveedor de hosting o de soporte LTS para asegurar que las correcciones están aplicadas.
• Aislar temporalmente los servidores expuestos a Internet que no puedan actualizarse.
• Revisar la configuración de mod_php y otros módulos, y considerar medidas de mitigación adicionales como firewalls de aplicación web (WAF) mientras se aplican los parches.

La analista de Forrester Madelein van der Hout señala que “lo que hace que estas vulnerabilidades sean significativas es su ubicación” y que PHP sustenta el 70% de los sitios web, lo que supone un enorme riesgo de concentración. “No basta con comprobar únicamente el sitio web corporativo. Las organizaciones deben determinar dónde están expuestas y dar prioridad a los sistemas conectados a Internet”, añade. En ForgeNEX compartimos esta visión: la clave está en un enfoque proactivo y en no subestimar la ubicuidad de PHP en el stack tecnológico de cualquier pyme.

Este incidente recuerda a otros fallos críticos recientes que hemos analizado, como los dos fallos RCE CVSS 9.0 en KSMBD de Linux, que también exigieron respuestas rápidas. La lección es clara: mantener un inventario actualizado de componentes y un proceso de gestión de parches ágil es esencial para reducir la ventana de exposición.

Si necesitas ayuda para evaluar tu exposición o para desplegar las actualizaciones de forma segura, en ForgeNEX podemos ayudarte. No esperes a que los atacantes aprovechen la ventana de oportunidad.

Fuente: Computerworld. Análisis y adaptación: ForgeNEX.