El proyecto PHP publicó este miércoles 21 de octubre actualizaciones de seguridad para corregir dos vulnerabilidades críticas que pueden permitir la ejecución de código a distancia sin que el atacante tenga una cuenta en el sistema. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso está dirigido a quienes administran servidores y sitios que utilizan este lenguaje: el equipo recomienda instalar los parches de inmediato y advierte que los cambios de configuración no reemplazan una actualización completa.

El alcance incluye las instalaciones de PHP que procesan solicitudes web, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo considera que el riesgo es mayor con mod_php, donde se demostró un ataque que puede activarse antes de que comience a ejecutarse el código de la aplicación. Esa demostración técnica no equivale a confirmar que todos los sitios afectados hayan sufrido una intrusión. La recomendación es comprobar la versión instalada y consultar los paquetes corregidos del proveedor, sin esperar a detectar un incidente.

La primera falla, identificada como CVE-2026-109618, está relacionada con el tratamiento de los errores por falta de memoria. El informe técnico explica que una interrupción puede dejar datos internos de una solicitud a medio preparar; al finalizar el procesamiento, PHP puede tratarlos como si fueran válidos. La explotación confirmada permite ejecutar código con los permisos de la cuenta del proceso web. Su funcionamiento depende de factores como la compilación de PHP, las extensiones y la configuración del servidor. El aviso le asigna una gravedad de 9,2 sobre 10 en la escala CVSS 4.0.

La segunda vulnerabilidad, CVE-2026-109619, tiene otro origen: cierta información interna puede persistir después de que se libere la memoria de una solicitud. Si el mismo proceso atiende una petición posterior, puede acceder a ese estado anterior antes de reinicializarlo. El parche corrige ese ciclo de vida. Los investigadores describen condiciones distintas según el entorno, las extensiones y las operaciones de la aplicación. Por eso, ocultar mensajes de error o desactivar una función particular no garantiza resolver todas las vías posibles. La documentación del proyecto insiste en actualizar a una versión que contenga la corrección completa.

WordPress también difundió un aviso para los responsables de sitios. Aclaró que el problema no es exclusivo de su plataforma y que no se necesita ni está prevista una actualización de WordPress para corregir estas fallas: lo que debe actualizarse es PHP en el servidor. Para consultar la versión en uso, indicó la ruta Herramientas, Salud del sitio, Información y Servidor. Ese dato suele estar disponible, además, en el panel del servicio de alojamiento. Aunque el proveedor ya esté aplicando medidas de protección, WordPress recomienda revisar sus comunicaciones y confirmar la actualización correspondiente.

La advertencia alcanza también a instalaciones antiguas. PHP 8.1 y las ramas anteriores ya no reciben las actualizaciones ordinarias del proyecto; algunos distribuidores mantienen correcciones adaptadas para sus clientes. Los administradores deben consultar esa cobertura o pasar a una rama compatible. El equipo también recordó que PHP 8.2 llegará al final de su soporte el 31 de diciembre de 2026, por lo que esta corrección no elimina la necesidad de planificar su reemplazo.

PHP comenzó como un conjunto de herramientas creado por Rasmus Lerdorf en 1994 para su página personal. La publicación de su código en 1995 abrió la participación de otros desarrolladores y su evolución hacia aplicaciones web dinámicas. Hoy, la acción inmediata para quienes lo utilizan no pasa por cambiar el contenido de sus páginas: consiste en verificar qué versión ejecuta el servidor y que la corrección de seguridad esté efectivamente disponible en su instalación.