top of page
Buscar

INCIBE-CERT y CCN-CERT alertan de dos fallos críticos en PHP y piden actualizar de inmediato

hace 1 día
3 min de lectura

INCIBE-CERT y CCN-CERT han publicado avisos de nivel crítico por dos vulnerabilidades en PHP que pueden permitir la ejecución remota de código sin autenticación. Las correcciones están disponibles desde el 21 de octubre de 2026 y afectan al intérprete que utilizan servidores y aplicaciones web. La prioridad es actualizar los sistemas expuestos a internet: ya se habían comunicado ataques antes de publicarse los parches.


Dos errores de memoria en el núcleo de PHP

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de gravedad CVSS v4.0 de 9,2 sobre 10. Su explotación puede permitir que un atacante ejecute código con los permisos del proceso web, sin disponer previamente de una cuenta.


CVE-2026-109618 está relacionada con la gestión del agotamiento de memoria. Una petición preparada puede interrumpir el procesamiento cuando ciertas estructuras internas aún no están completamente inicializadas. Al cerrar la petición, PHP puede utilizar esos datos inválidos y provocar una corrupción de memoria aprovechable para ejecutar código. El proyecto ha demostrado esta posibilidad en Apache con mod_php, incluso antes de que se ejecute el código de la aplicación. Para esta vulnerabilidad concreta, el análisis también considera susceptible a PHP-FPM, aunque el aviso técnico no documenta una explotación completa de esa vía.


CVE-2026-109619 surge cuando un proceso conserva referencias a información de una petición cuya memoria ya se ha liberado. Si otra petición llega al mismo proceso y utiliza esas referencias antes de reinicializarlas, puede producirse un uso después de liberar memoria. Este error puede permitir la ejecución de código; su aprovechamiento depende del estado interno implicado y de la configuración.


Qué sistemas están expuestos y qué ataques se han observado

PHP considera en riesgo las instalaciones que atienden peticiones web mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, con especial preocupación por mod_php. El problema reside en el intérprete: la revisión debe abarcar la versión de PHP que ejecuta cada servicio.


INCIBE recoge actividad anterior a las actualizaciones, pero aclara que los ataques comunicados no identifican por separado cuál de los dos CVE se utilizó. Cloudflare también confirma tráfico de ataque y modificaciones de las cargas maliciosas para intentar eludir sus defensas. Los intentos observados no acreditan por sí solos que se haya comprometido un servidor.


El impacto operativo incluye interrupciones preventivas. Associated Press informó de que administraciones y otras organizaciones retiraron temporalmente servicios para aplicar las medidas de protección. Una web desconectada durante esta emergencia, por tanto, no constituye por sí misma evidencia de un ataque exitoso.


Versiones corregidas y medidas de protección

Las actualizaciones de las ramas mantenidas son las siguientes. Debe instalarse la correspondiente a la rama utilizada o un paquete del distribuidor que incorpore las correcciones.

Rama

Versiones afectadas de esa rama

Versión corregida

PHP 8.2

Anteriores a 8.2.35

8.2.35

PHP 8.3

Anteriores a 8.3.36

8.3.36

PHP 8.4

Anteriores a 8.4.27

8.4.27

PHP 8.5

Anteriores a 8.5.12

8.5.12

PHP 8.1 y las ramas anteriores carecen de actualizaciones regulares del proyecto. Excepcionalmente, el equipo ha facilitado parches de código fuente para PHP 7.4, 8.0 y 8.1. Los administradores de estas instalaciones deben comprobar la disponibilidad de correcciones con su proveedor o migrar a una rama mantenida.


La actualización es la única solución completa. PHP documenta ajustes temporales para reducir determinadas vías de explotación, pero advierte de que no hacen segura una instalación. Las protecciones de un cortafuegos de aplicaciones web tampoco sustituyen al parche.

El CCN-CERT recomienda identificar las aplicaciones basadas en PHP y actualizarlas de inmediato. Mientras se completa la intervención, pide apagar los servicios expuestos cuyo uso no sea indispensable y aislar las aplicaciones conectadas a internet que no puedan corregirse de forma inmediata.


Fuentes

 
 
 

Comentarios

bottom of page