El ecosistema del desarrollo web enfrenta una importante alerta de seguridad. Este 21 de octubre de 2026, el equipo oficial de PHP publicó cuatro actualizaciones urgentes para corregir dos vulnerabilidades críticas capaces de permitir que un atacante ejecute código malicioso en un servidor sin necesidad de iniciar sesión.
Los problemas de seguridad, identificados como CVE-2026-109618 y CVE-2026-109619, representan una amenaza para numerosos sitios web y aplicaciones que utilizan PHP.
Lo más preocupante es que, bajo determinadas condiciones, los atacantes podrían aprovechar estas vulnerabilidades antes de que comience a ejecutarse el código de la aplicación.
¿Qué tan peligrosas son estas vulnerabilidades?
Ambos fallos recibieron una calificación de 9,2 sobre 10 en la escala CVSS 4.0, lo que los sitúa dentro de la categoría crítica.
El primero, CVE-2026-109618, está relacionado con el tratamiento de situaciones en las que PHP se queda sin memoria. En determinadas circunstancias, el intérprete puede intentar limpiar estructuras internas que todavía no fueron inicializadas correctamente.
El segundo, CVE-2026-109619, afecta a la gestión del estado interno de las solicitudes. Algunas estructuras pueden seguir siendo utilizadas después de que la memoria asociada haya sido liberada.
Estos problemas pueden abrir la puerta a ataques de ejecución remota de código (RCE), comprometiendo la seguridad de los servidores afectados.
Las cuatro versiones de PHP que debes instalar
El equipo de PHP recomienda actualizar inmediatamente a las siguientes versiones corregidas:
| Rama de PHP | Versión segura publicada |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Estas actualizaciones ya están disponibles desde el sitio oficial de PHP.
Es importante recordar que PHP 8.2 finalizará su soporte de seguridad el 31 de diciembre de 2026, por lo que sus usuarios también deberían planificar una migración a una rama más reciente.
¿Laravel, WordPress y otros sistemas están en peligro?
La alerta no está limitada a un framework o gestor de contenidos.
Los servidores que ejecutan aplicaciones mediante PHP-FPM, Apache con mod_php, LiteSpeed, FrankenPHP o php-cgi pueden encontrarse expuestos si utilizan versiones vulnerables.
Esto incluye infraestructuras que alojan proyectos desarrollados con Laravel, WordPress, Drupal, Joomla y otras tecnologías basadas en PHP.
El problema se encuentra en el propio intérprete de PHP, no necesariamente en el código de estas plataformas.
De hecho, el equipo de seguridad confirmó que existe una demostración de ataque contra Apache con mod_php que puede activarse mediante una solicitud sin autenticación, incluso antes de ejecutar el código de la aplicación.
Esto significa que disponer de un sistema de inicio de sesión, validaciones de formularios o middleware de autenticación no garantiza protección frente a estas vulnerabilidades.
¿Qué sucede con PHP 7.4, 8.0 y 8.1?
Aunque estas versiones ya finalizaron su soporte oficial, la gravedad de los problemas motivó una medida excepcional.
El equipo de seguridad proporcionó correcciones mínimas del código fuente para PHP 7.4, 8.0 y 8.1, destinadas a facilitar su aplicación por parte de usuarios que compilan PHP o no disponen de un proveedor con soporte extendido.
Sin embargo, esto no significa que dichas versiones hayan recuperado su mantenimiento habitual ni que estén protegidas contra otros problemas de seguridad.
Algunos proveedores de distribuciones Linux también pueden distribuir sus propias actualizaciones mediante paquetes corregidos.
La recomendación sigue siendo migrar a una versión de PHP con soporte activo.
¿Cómo comprobar si tu servidor necesita actualizarse?
Si administras una aplicación PHP, puedes comenzar verificando la versión instalada desde la terminal:
php -vEste comando permite identificar la versión de PHP utilizada por la línea de comandos. Recuerda que la versión utilizada por tu servidor web podría ser diferente.
Si utilizas un hosting compartido, revisa la configuración de PHP desde su panel de administración y consulta si el proveedor ya implementó los parches de seguridad.
En servidores VPS o dedicados, comprueba las actualizaciones disponibles en los repositorios de tu distribución Linux.
Antes de realizar cambios en producción, es recomendable disponer de una copia de seguridad, verificar la compatibilidad de las aplicaciones y confirmar posteriormente que todos los procesos del servidor están utilizando la versión corregida.
¿Es posible protegerse sin actualizar PHP?
El equipo oficial ha publicado algunas medidas temporales para reducir determinadas rutas de ataque, como ajustes de memoria y configuración de sesiones.
Sin embargo, advierte que ninguna de estas medidas proporciona una protección completa.
Modificar la configuración del servidor puede disminuir ciertos riesgos, pero no elimina las vulnerabilidades originales.
Por eso, actualizar PHP o instalar los parches proporcionados por el fabricante de la distribución sigue siendo la acción fundamental.
Una advertencia para todos los desarrolladores
Este incidente demuestra que la seguridad de una aplicación no depende únicamente de escribir código seguro.
También es necesario mantener actualizado el entorno donde se ejecuta, incluyendo el lenguaje de programación, las librerías, las dependencias y la infraestructura del servidor.
Para quienes desarrollan aplicaciones con Laravel, WordPress u otras tecnologías PHP, es un buen momento para revisar los entornos de producción y verificar que los proveedores de alojamiento hayan aplicado las actualizaciones correspondientes.
La recomendación es clara: si tu servidor utiliza PHP, comprueba hoy mismo su versión y su estado de seguridad.
Fuente oficial: https://www.php.net/archive/2026.php#2026-10-21-5
