PHP corrige CVE-2026-109618

El equipo de PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619 en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CERT-EU, el Centro Canadiense de Ciberseguridad, AWS, Google, Red Hat y ENISA coincidieron en que se trata de fallos críticos que pueden permitir ejecución remota de código en sistemas PHP afectados, con alcance sobre versiones anteriores de esas ramas.

¿Qué corrigieron las nuevas versiones de PHP?

Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 incorporan los parches para ambos CVE. El Centro Canadiense de Ciberseguridad indicó que las versiones anteriores de esas ramas quedan afectadas, mientras que Google identificó como vulnerables todas las versiones de PHP desde 5.4 hasta 8.5.11 y como corregidas las versiones ya publicadas.

CERT-EU describió CVE-2026-109618 como una vulnerabilidad de ejecución remota de código asociada a corrupción de memoria durante el manejo de errores de falta de memoria, con una puntuación CVSS de 9.2. Sobre CVE-2026-109619, señaló que también habilita ejecución remota de código y que está vinculada a un estado global obsoleto, con la misma puntuación CVSS de 9.2.

¿Qué impacto técnico pueden tener?

Varias firmas describieron escenarios distintos, pero compatibles, de explotación. El aviso del Centro Canadiense de Ciberseguridad indica que ambas vulnerabilidades pueden permitir a un actor remoto no autenticado ejecutar código arbitrario en un sistema PHP afectado. AWS añadió que un atacante no autenticado puede enviar solicitudes web diseñadas para ejecutar código arbitrario, leer datos accesibles al proceso o provocar una denegación de servicio.

Red Hat informó que los fallos surgen durante el procesamiento de solicitudes PHP y pueden derivar en ejecución arbitraria de código por parte de un atacante remoto no autenticado. Palo Alto Networks detalló que CVE-2026-109618 se relaciona con el uso de longjmp() durante errores de falta de memoria, lo que puede dejar sin inicializar memoria de la solicitud, mientras CVE-2026-109619 deja memoria global apuntando a regiones liberadas.

¿Qué recomendaciones dieron los organismos y proveedores?

ENISA informó que las dos vulnerabilidades podían permitir ejecución remota de código sin autenticación en servidores PHP vulnerables y recomendó priorizar los sistemas expuestos a internet. Cuando no fuera posible corregirlos de inmediato, aconsejó aislarlos de redes públicas.

AWS señaló además que las ramas PHP 5.4 a 8.1 no tienen una corrección upstream publicada y requieren migración a una rama compatible. El NCSC de Nueva Zelanda recomendó aplicar inmediatamente los parches de PHP y mantener vigilancia activa ante posibles intentos de explotación.

Sophos reportó que se había publicado un exploit de prueba de concepto relacionado con las vulnerabilidades, pero el resultado disponible no confirma su funcionalidad ni explotación activa. Check Point, por su parte, publicó un advisory independiente que clasifica el problema como una vulnerabilidad de ejecución remota de código en PHP y advierte que un atacante remoto podría ejecutar código arbitrario en el sistema afectado.