Vulnerabilidad CRÍTICA (10 de 10) en PHP de 5.x a 8.x (preparate!)

El equi­po de de­sa­rro­llo de PHP ha anun­cia­do una pró­xi­ma ac­tua­li­za­ción de se­gu­ri­dad crí­ti­ca, pro­gra­ma­da para el miér­co­les 21 de oc­tu­bre de 2026 a las 14:00 UTC. Esta ac­tua­li­za­ción abor­da dos vul­ne­ra­bi­li­da­des crí­ti­cas.

Los iden­ti­fi­ca­do­res CVE asig­na­dos son  CVE-2026-109618  y  CVE-2026-109619. Los de­ta­lles téc­ni­cos com­ple­tos se pu­bli­ca­rán junto con la ac­tua­li­za­ción. La in­for­ma­ción fue re­ve­la­da ini­cial­men­te por el in­ves­ti­ga­dor de se­gu­ri­dad Flo­rian Roth ( @cyb3rops ). Pos­te­rior­men­te, el equi­po de se­gu­ri­dad de PHP pu­bli­có el anun­cio ofi­cial en php.net.

Flo­rian tam­bién dice que "la vul­ne­ra­bi­li­dad de eje­cu­ción re­mo­ta de có­di­go (RCE) en el nú­cleo de PHP, con una pun­tua­ción CVSS de 10.0, solo re­ci­bi­rá par­ches para PHP 8.x".

El equi­po de PHP ha de­cla­ra­do que se re­ser­va el de­re­cho de lan­zar la ac­tua­li­za­ción antes de lo pre­vis­to si los de­ta­lles de al­gu­na de las vul­ne­ra­bi­li­da­des se hacen pú­bli­cos, o si apa­re­cen prue­bas de que están sien­do ex­plo­ta­das ac­ti­va­men­te.

CVE-2026-109618 y CVE-2026-109619 son vul­ne­ra­bi­li­da­des de eje­cu­ción re­mo­ta de có­di­go re­por­ta­das en PHP, un len­gua­je de scrip­ting uti­li­za­do para crear y eje­cu­tar apli­ca­cio­nes web y si­tios web. Según un in­for­me no ve­ri­fi­ca­do, la vul­ne­ra­bi­li­dad per­mi­ti­ría a un ata­can­te eje­cu­tar su pro­pio có­di­go en un ser­vi­dor que uti­li­ce PHP, lo que po­dría darle el con­trol del mismo. El in­for­me in­di­ca que el pro­ble­ma afec­ta a todas las ver­sio­nes de PHP desde la 5 en ade­lan­te; sin em­bar­go, no exis­te un aviso ofi­cial del pro­vee­dor que con­fir­me el al­can­ce, la causa téc­ni­ca o la dis­po­ni­bi­li­dad de una ver­sión co­rre­gi­da…