Acción URGENTE requerida: vulnerabilidades críticas de PHP (CVE-2026-109618 & CVE-2026-109619)

Querido cliente,

Nos gustaría señalar a su atención dos vulnerabilidades de seguridad críticas identificadas en el tiempo de ejecución PHP: CVE-2026-109618 y CVE-2026-109619. Estas vulnerabilidades pueden permitir que un atacante no secuestrado ejecute código arbitrario en servidores afectados bajo ciertas condiciones.

Las vulnerabilidades han sido calificadas Critical, con una puntuación CVSS de 9.2/10. Los clientes que ejecutan las instalaciones de PHP afectadas son fuertemente aconsejados para tomar acción inmediata.

Detalles técnicos : Las vulnerabilidades implican problemas de gestión de memoria dentro de PHP que pueden conducir a la ejecución remota de códigos (RCE):

- CVE-2026-109618 — Ejecución de códigos remotos a través de la corrupción fuera de memoria (OOM): El manejo indebido de fallos de asignación de memoria puede dejar datos de solicitud interna en un estado inconsistente, permitiendo potencialmente que un atacante explote el tiempo de ejecución de PHP afectado.

- CVE-2026-109619 — Aplicación de códigos remotos a través de Stale Global State: PHP puede retener referencias a la memoria que ya se ha publicado. En determinadas condiciones, las solicitudes posteriores tramitadas por el mismo trabajador pueden acceder a este estado de estancamiento, lo que podría dar lugar a la ejecución remota del código.

La explotación exitosa podría comprometer al trabajador PHP afectado y potencialmente exponer los datos del sitio web u otros recursos accesibles al proceso.

Oficial PHP Anuncio de seguridad y versiones fijas.

Consulte el anuncio oficial de seguridad de PHP para detalles técnicos, versiones afectadas y actualizaciones de seguridad disponibles:

URL : https://www.php.net/archive/2026.php#2026-10-21-5

Acciones requeridas te recomendamos encarecidamente:

Identifique todas las versiones PHP instaladas en su servidor, incluyendo versiones utilizadas por sitios web y aplicaciones individuales.
2. Revisar el sistema operativo relevante, distribución PHP o asesorías de proveedores de panel de control de alojamiento.
3. Aplicar las actualizaciones de seguridad compatibles con proveedores adecuadas para todas las instalaciones de PHP afectadas.
4 Verifique que los servicios y aplicaciones PHP se ejecutan con las soluciones de seguridad necesarias.
5. Si no se dispone de una actualización de seguridad compatible, restringir el acceso público a las aplicaciones afectadas cuando sea posible y planificar una actualización o migración adecuada.
6. Revisa la compatibilidad de la aplicación antes de cambiar las versiones de PHP, y prueba los cambios necesarios antes de desplegarlos en producción.

Notas importantes ,

- Si su servidor no utiliza PHP y no tiene instalados aplicaciones o servicios basados en PHP, puede ignorar esta notificación.
- Si PHP se instala pero se cree que no se usa, por favor verifique que ningún sitio web, procesos de fondo u otros servicios dependen de él antes de decidir que no se requiere ninguna acción.
- Como su servidor está cubierto por un arreglo de servicio no gestionado, el sistema operativo y el mantenimiento de nivel de aplicación puede ser su responsabilidad, sujeto a nuestro acuerdo de servicio.

Por favor, trate este asesoramiento como una prioridad.

Gracias por su atención y cooperación en el mantenimiento de la seguridad de su entorno servidor.