Seguridad · 24 de octubre de 2026
PHP Foundation revela vulnerabilidades críticas y actualizaciones necesarias
La PHP Foundation ha confirmado la existencia de dos vulnerabilidades críticas en PHP, identificadas como "CVE-2026-109618" y "CVE-2026-109619". Aunque algunos problemas fueron detectados en 2024, la falta de recursos ha generado retrasos en la corrección de estas fallas de seguridad. Se esperaba que la información sobre estas vulnerabilidades se publicara de manera controlada, pero surgieron confusiones debido a filtraciones antes de la divulgación oficial.
El 21 de octubre de 2026, se lanzaron actualizaciones para resolver estas vulnerabilidades que permiten la ejecución de código sin autenticación remota. Las versiones actualizadas son "PHP 8.5.12", "8.4.27", "8.3.36" y "8.2.35". La PHP Foundation ha instado a todos los usuarios a realizar la actualización de inmediato para garantizar la seguridad de sus sistemas.
Las vulnerabilidades identificadas están relacionadas con la gestión de memoria y el manejo de errores, las cuales afectan a casi todas las solicitudes en PHP. Esto representa un riesgo significativo debido a la amplitud de su impacto y los desafíos que surgieron en la coordinación entre las partes involucradas y en el rendimiento del sistema.
Se indicó que las señales de "CVE-2026-109618" fueron detectadas durante una auditoría externa realizada en 2024, la cual también identificó otros problemas. Aunque se había contemplado la posibilidad de que estas vulnerabilidades fueran explotadas, no se conocían los métodos de ataque específicos, lo que llevó a priorizar la atención a otros problemas más concretos en ese momento.