Alerta de seguridad crítica en PHP: Múltiples vulnerabilidades y actualización urgente

Hoy nos hemos levantado con un aviso crítico de seguridad que afecta directamente al ecosistema PHP. Organismos de ciberseguridad como el INCIBE-CERT y analistas del sector han emitido alertas de impacto alto y crítico debido al descubrimiento de múltiples vulnerabilidades que comprometen diversas versiones del motor.

¿Qué ha ocurrido?

Se han identificado fallos de seguridad graves en componentes internos de PHP que podrían permitir a atacantes remotos realizar desde denegaciones de servicio (DoS) hasta, en determinados escenarios, ejecución remota de código (RCE) o eludir restricciones de acceso si el entorno procesa entradas no confiables.

El aviso emitido por INCIBE-CERT cataloga la incidencia con nivel de severidad alto/crítico, afectando tanto a servidores corporativos como a entornos de producción expuestos a internet. Gran parte del riesgo se concentra en plataformas web y gestores de contenido ampliamente desplegados (como WordPress o aplicaciones a medida), donde el procesamiento indebido de peticiones puede abrir la puerta a la intrusión.

Sistemas afectados y vectores de riesgo

Los fallos impactan principalmente en ramas comunes en uso (como las versiones 8.1, 8.2 y 8.3 que no cuenten con las últimas revisiones acumulativas de seguridad).

El vector principal radica en servicios expuestos públicamente donde funciones específicas de tratamiento de datos, parseo o subida de ficheros pueden ser explotadas de forma remota sin requerir privilegios previos en el servidor.

Acciones inmediatas recomendadas

Si administras servidores, contenedores Docker o entornos compartidos con aplicaciones PHP:

1. Actualizar de inmediato: Aplicar los parches oficiales publicados por el equipo de desarrollo de PHP o actualizar los paquetes desde los repositorios oficiales de tu distribución Linux (apt update && apt upgrade o reconstruyendo las imágenes Docker base).
2. Revisar servicios expuestos: Si la actualización no puede ser inmediata, limita la exposición mediante reglas de filtrado en el cortafuegos o ajusta las reglas del WAF (Web Application Firewall) frente a peticiones anómalas.
3. Auditar logs de acceso: Revisar los registros del servidor web (Nginx/Apache/Traefik) en busca de llamadas o payloads sospechosos dirigidos a rutas sensibles.

En ciberseguridad, la ventana de tiempo entre la publicación de la alerta y la aplicación del parche suele marcar la diferencia frente a los escaneos automatizados en la red.

📢 Actualización oficial: 21 de octubre de 2026

INCIBE-CERT y el equipo de PHP han confirmado el lanzamiento de las versiones oficiales corregidas y parches acumulativos para solventar estas vulnerabilidades.

Versiones corregidas ya disponibles

Se insta a actualizar las instancias en producción a las versiones parcheadas según la rama activa:

• Ramas soportadas: Actualizar inmediatamente a 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
• Ramas desatendidas (PHP 8.1, 8.0 y 7.4): Se han habilitado parches retroportados (backported) a nivel de código fuente. Si tu proveedor de hosting o distribución no los incluye, se recomienda migrar a una versión mantenida.
• Nota sobre repositorios: Repositorios comunitarios como rpms.remirepo.net pueden presentar retrasos en los binarios; se aconseja priorizar paquetes oficiales de la distribución o compilar directamente desde fuentes si la exposición es crítica.

Mitigaciones temporales (si no puedes actualizar de inmediato)

Si el entorno no puede reiniciarse o parchearse ahora mismo, aplican estas directivas de contención:

• Frente a CVE-2026-109618: Fijar administrativamente memory_limit = -1 (un límite finito como 128M no desactiva la vulnerabilidad). Esta medida eleva el riesgo de consumo de memoria general, por lo que requiere monitorización. Mantener además post_max_size en valores bajos (8M sin subida de archivos, 32M si se requiere) y restringir o bloquear formularios multipart en el proxy inverso/WAF si la aplicación no los necesita. Evitar el uso de RLIMIT_AS o RLIMIT_DATA.
• Frente a CVE-2026-109619: Desactivar administrativamente session.upload_progress.enabled en php.ini y reiniciar los procesos. En entornos bajo PHP 8.5, desactivar también fatal_error_backtraces. Ocultar avisos con @ o display_errors no mitiga el fallo.

Las mitigaciones reducen la superficie de exposición pero no sustituyen el parche. Si un servicio expuesto a internet no puede parchearse, debe aislarse temporalmente del tráfico público.