PHP: dos vulnerabilidades críticas, parches el 21 de octubre

El 20 de octubre de 2026 el proyecto PHP anunció una versión de seguridad para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. Lo recoge el aviso 2026-018 del CERT-EU, el servicio de ciberseguridad de las instituciones, órganos y agencias de la Unión Europea. Según el CERT-EU, que cita el anuncio en el sitio web de PHP y algunos informes no oficiales, los dos fallos podrían permitir la ejecución remota de código (RCE).

La publicación está prevista para el 21 de octubre de 2026 a las 14:00 UTC (las 16:00 en España peninsular). Hasta entonces no hay detalles técnicos públicos: este artículo recoge lo que se sabe hoy y cómo prepararte, y conviene leerlo junto con las notas de la versión de PHP cuando se publiquen.

Qué se sabe

• CVE: CVE-2026-109618 y CVE-2026-109619.
• Gravedad: puntuación CVSS 9.2 en ambas. Según el CERT-EU, estas puntuaciones indican la posibilidad de ejecución remota de código sin autenticación.
• Versiones afectadas: según el CERT-EU, que cita una fuente no oficial, las vulnerabilidades podrían afectar a todas las versiones de PHP a partir de PHP 5. El proyecto PHP no lo ha confirmado.
• Detalles técnicos: ninguno. No se conocen el componente afectado, el vector de ataque exacto ni las condiciones necesarias (extensiones, configuraciones, modos de ejecución).
• Explotación: el aviso no menciona explotación activa ni exploits públicos, y no incluye indicadores de compromiso.

El aviso del CERT-EU es la única fuente de este artículo: toda la información se atribuye a él y a las fuentes que cita.

Por qué importa a las empresas europeas e italianas

PHP es el lenguaje del lado del servidor de muchísimos sitios y aplicaciones web: CMS, tiendas online, portales para clientes y proveedores, software de gestión con interfaz web. Funciona en servidores dedicados, en alojamiento compartido y dentro de imágenes de contenedores, a menudo gestionado por proveedores distintos.

Por eso el CERT-EU pide prepararse antes de que se publiquen las correcciones, para poder actualizar en cuanto estén disponibles. Hasta entonces nadie puede decir con certeza qué instalaciones son realmente vulnerables: el inventario sirve precisamente para no perder tiempo después.

Para las entidades sujetas a NIS2, el caso forma parte de la gestión de vulnerabilidades: conviene documentar el inventario de sistemas con PHP, la prioridad asignada y los plazos de actualización. Cualquier incidente significativo debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). En el sector sanitario, PHP puede estar detrás de portales para pacientes y servicios de cita previa online: inclúyelos en el inventario.

Qué hacer ahora

El CERT-EU recomienda identificar las aplicaciones basadas en PHP y prepararse para actualizarlas en cuanto estén disponibles las versiones corregidas. Donde no sea posible actualizar de inmediato, aconseja valorar el aislamiento de las redes públicas de las aplicaciones expuestas a Internet hasta aplicar la corrección.

En la práctica:

1. Haz inventario de dónde se ejecuta PHP: servidores web, contenedores, alojamiento, aplicaciones de terceros. php -v muestra la versión del intérprete de línea de comandos; la que usa el servidor web (PHP-FPM o módulo del servidor) puede ser distinta y hay que comprobarla por separado.
2. Da prioridad a los sistemas expuestos a Internet, empezando por las aplicaciones accesibles sin autenticación.
3. Prepara la ventana de mantenimiento para el 21 de octubre después de las 14:00 UTC, con pruebas y un plan de vuelta atrás.
4. Averigua de quién llega la actualización: si usas los paquetes de tu distribución Linux, un panel de alojamiento o imágenes de contenedores, las versiones corregidas llegan de ellos, quizá con plazos distintos. Sigue sus avisos además del de PHP.
5. Comprueba qué ramas siguen teniendo soporte en la página de versiones soportadas de php.net y, para las que no lo tienen, consulta con el proyecto o con tu proveedor si hay prevista una corrección.
6. Si no puedes actualizar enseguida, valora, como sugiere el CERT-EU, retirar las aplicaciones de la exposición pública, por ejemplo limitando el acceso a la VPN o a direcciones autorizadas.
7. Después de la publicación, lee las notas de seguridad de PHP para saber qué componentes y configuraciones están afectados, actualiza y revisa los registros de los servidores web en busca de peticiones anómalas.

Cómo ayuda ARXDOME

El inventario de ARX Sentry recoge el software, los procesos y los puertos de cada servidor con el agente: te ayuda a encontrar dónde están instalados PHP y PHP-FPM. ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete, y ARX Expose los servicios públicos de tu empresa y los productos reconocidos en ellos: juntos te ayudan a decidir por qué servidores empezar.

Última actualización: 20 de octubre de 2026