PHP en resumen
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen CVE-2026-109618 y CVE-2026-109619, ambas críticas (CVSS v4 9.2). Investigadores que usaron herramientas de IA lograron ejecutar código sin autenticación en WordPress, Drupal y Joomla.
PHP: estado
- Afectado
- PHP 8.5 anterior a 8.5.12
- PHP 8.4 anterior a 8.4.27
- PHP 8.3 anterior a 8.3.36
- PHP 8.2 anterior a 8.2.35
- PHP 8.1 y versiones anteriores sin soporte (sin versión oficial; parches mínimos de código fuente para 7.4, 8.0 y 8.1)
- SAPI web como Apache mod_php y PHP-FPM; FrankenPHP y LSAPI probablemente afectados
- Identificadores CVE
- Estado al
- Detectada por
- Calif (revisión asistida por LLM dentro de Patch the Planet de OpenAI), Wiz Research (Wiz Atlas con Gemini 4 Argon y GPT-5.6 Sol) y OpenAI · Detectada por un sistema de IA
Qué cambió con PHP
El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para todas las ramas con soporte y pidió a todos actualizar. Las dos fallas están en el manejo de solicitudes del propio PHP, no en algún framework. Con CVE-2026-109618, una solicitud que alcanza el límite de memoria en el momento justo deja datos a medio construir que PHP después considera válidos; en Apache con mod_php esto ocurre antes de que corra el código de la aplicación, y el proyecto confirmó ejecución de código con la configuración predeterminada. Con CVE-2026-109619, el estado interno queda apuntando a memoria de una solicitud anterior, así que la siguiente solicitud en el mismo proceso puede usar memoria ya liberada.
Prácticamente cualquier sitio PHP que atiende tráfico web está expuesto. Los avisos mencionan rutas en mod_php y PHP-FPM e indican que FrankenPHP y LSAPI probablemente también están afectados; Calif ubica el código afectado más antiguo en PHP 5.4. Wiz demostró la toma de control sin autenticación de imágenes estándar de WordPress, Drupal y Joomla. PHP 8.1 y versiones anteriores no reciben versión oficial, solo parches mínimos de código fuente enlazados desde el aviso, mientras que las distribuciones de Linux y los proveedores de soporte extendido recibieron los parches por adelantado.
Las fallas las reportaron Calif, con revisión de código asistida por modelos de lenguaje dentro del programa Patch the Planet de OpenAI; Wiz Research, que atribuye el hallazgo a su plataforma Wiz Atlas con Gemini 4 Argon y GPT-5.6 Sol; y OpenAI. La PHP Foundation aclara que las decisiones y los parches siguen a cargo de personas, y que el embargo se filtró antes de tiempo: se publicó por error un video con una prueba de concepto y aparecieron imágenes de contenedor corregidas horas antes del lanzamiento coordinado. Cognition publicó skills de código abierto que guían a un agente de programación por un inventario de solo lectura y un paso de aprobación antes de parchear.
Cómo corregirlo: PHP
1. Actualizar
Actualiza a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 (o al paquete corregido de tu distribución de Linux) y reinicia todos los procesos de PHP. El proyecto PHP indica que actualizar es la única solución completa.
php.net (se abre en una pestaña nueva)2. Solución temporal
Si no puedes parchear de inmediato (CVE-2026-109618): define memory_limit=-1 con php_admin_value en el pool de FPM o en la configuración de Apache, limita post_max_size (8M sin cargas de archivos, 32M con cargas), aplica límites de solicitud en el servidor web o proxy y usa límites de memoria de contenedor o cgroup. Esto reduce la exposición, pero no deja PHP seguro.
php.net (se abre en una pestaña nueva)3. Solución temporal
Paso provisional para CVE-2026-109619: define session.upload_progress.enabled=0 en php.ini, en el pool de FPM o en la configuración del servidor (no con ini_set() ni .user.ini) y reinicia todos los procesos; en PHP 8.5 define también fatal_error_backtraces=0.
github.com (se abre en una pestaña nueva)4. Vigilar
Vigila solicitudes multipart inusuales seguidas de errores de límite de memoria, ráfagas de respuestas HTTP 500, cookies PHPSESSID demasiado grandes o malformadas y reinicios inexplicables de procesos de PHP.
wiz.io (se abre en una pestaña nueva)5. Instrucción para agentes
Si un agente de programación con IA hará la actualización, dale la instrucción de abajo. Sigue las reglas de la skill de código abierto fix-php-vuln de Cognition: primero un inventario de solo lectura, aprobación explícita, versiones confirmadas y pruebas antes y después.
github.com (se abre en una pestaña nueva)
Instrucción para tu agente de IA
Antes de cambiar algo, haz un inventario de solo lectura de cada runtime de PHP que usa este proyecto (Dockerfiles, imágenes base, paquetes del sistema operativo, infraestructura como código) y muéstramelo en una sola tabla. No edites, instales ni reinicies nada hasta que yo apruebe los repositorios específicos. Actualiza solo a una versión corregida que hayas confirmado que existe (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 o una versión corregida posterior de la misma rama, o el paquete corregido de la distribución); nunca adivines una versión. Ejecuta las pruebas en la imagen de producción antes y después, considera regresión cualquier falla o advertencia de obsolescencia nueva y abre un pull request por repositorio con un punto de reversión.
Basada en la guía oficial enlazada abajo. Revísala antes de dársela a un agente que pueda modificar tus sistemas.
Avisos de seguridad
Dónde comparar PHP
Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.
Por qué PHP importa para los negocios
PHP sigue impulsando una gran parte de los sitios de pequeñas empresas y agencias, incluida la mayoría de las instalaciones de WordPress. Este caso muestra que la IA ya encuentra fallas de hace una década en infraestructura básica y que los atacantes consiguen código de prueba en cuestión de horas. Si tú o tus clientes usan PHP, confirma con cada proveedor de hosting que el runtime está actualizado, en lugar de suponer que la actualización del CMS lo cubre, y mantén la aprobación humana en cualquier actualización hecha por agentes.
PHP: actualizaciones desde la publicación
Cambios fechados desde la publicación. El texto original de arriba se conserva tal como se escribió en su fecha.
Estado (Actualizado)Corregida
CISA agregó CVE-2026-109618 y CVE-2026-109619 a su catálogo de vulnerabilidades explotadas el 26 de octubre de 2026.
cisa.gov (se abre en una pestaña nueva)
Fuentes de esta noticia
- Security advisory: Critical remote code execution vulnerabilities, update now (se abre en una pestaña nueva)Oficial
PHP · php.net
- RCE via OOM corruption (GHSA-w8hw-w9fx-j79w) (se abre en una pestaña nueva)Oficial
php/php-src on GitHub · github.com
- RCE via stale global state (GHSA-6wmf-4rv5-p3rp) (se abre en una pestaña nueva)Oficial
php/php-src on GitHub · github.com
- Today's PHP security release and how we're strengthening PHP security (se abre en una pestaña nueva)Oficial
The PHP Foundation · thephp.foundation
- PHP2Shell: AI uncovers critical RCE vulnerabilities (se abre en una pestaña nueva)Oficial
Wiz Research · wiz.io
- PHP2Shell (se abre en una pestaña nueva)Oficial
Calif · calif.io
- Devin Vulnerability Fixes (agent skills) (se abre en una pestaña nueva)Oficial
Cognition on GitHub · github.com
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #php
- #remote-code-execution
- #ai-discovered
- #wordpress
- #patch-now