Información clave
El 21 de octubre, el equipo de desarrollo de PHP lanzó actualizaciones de seguridad urgentes para abordar dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Ambos fallos tienen una puntuación de gravedad CVSS v4.0 de 9.2, lo que podría permitir la ejecución remota de código sin autenticación en los servidores afectados. Los problemas involucran corrupción de memoria y estados internos residuales después de la liberación de memoria.
Las vulnerabilidades provocaron medidas de precaución generalizadas, con instituciones gubernamentales y privadas en Europa, Japón y Estados Unidos desconectando sus sitios web. En Japón, importantes empresas de videojuegos, incluidas SEGA, CAPCOM, Bandai Namco y Cygames, iniciaron un mantenimiento de emergencia. Otras plataformas afectadas incluyen Niconico, 4chan y varios sitios comunitarios.
La firma de seguridad Sansec advirtió que podrían ocurrir ataques a gran escala dentro de los 15 minutos posteriores al lanzamiento del parche. El CTO de Cloudflare, Dane Knecht, confirmó haber observado actividad maliciosa inicial, señalando que, si bien los ajustes del firewall brindan una protección temporal, no pueden reemplazar la necesidad de instalar las actualizaciones oficiales de PHP.
PHP ha lanzado las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para mitigar estos riesgos. Los expertos enfatizan que, dado que PHP impulsa aproximadamente el 75% de los sitios web con lenguajes del lado del servidor conocidos, incluidos los que usan WordPress, el impacto potencial es enorme. Se insta a los administradores a actualizar de inmediato, aunque aquellos que utilizan alojamiento compartido pueden depender de sus proveedores para aplicar los parches de entorno necesarios.
