El 21 de octubre de 2026, el proyecto PHP publicó correcciones para dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación. Se ha reportado explotación activa.

No tenemos acceso a tu VPS, VDS o Servidor Dedicado, por lo que no podemos aplicar la actualización por ti. Por favor, instálala de inmediato, en cuanto estén disponibles los paquetes corregidos para tu sistema.

Las vulnerabilidades

• CVE-2026-109618: ejecución remota de código por corrupción de memoria debido a falta de memoria (out-of-memory)
• CVE-2026-109619: ejecución remota de código por estado global obsoleto (stale global state)

Ambas tienen una calificación de 9.2 (crítica) en la escala CVSS v4.0. Todas las instalaciones de PHP que atienden solicitudes web están en riesgo, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php. Para ver todos los detalles, consulta el aviso de seguridad oficial de PHP.

Versiones de PHP corregidas

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35 (fin de vida el 31 de diciembre de 2026, así que por favor planea una actualización)

PHP 8.1 y versiones anteriores ya no reciben actualizaciones del proyecto PHP. Si usas alguna de estas versiones, por favor actualiza a una versión con soporte o verifica si existen correcciones portadas (backports). Existen backports mínimos del código fuente para PHP 7.4, 8.0 y 8.1, pero solo para compilar desde el código fuente.

Qué debes hacer

1. Crea un snapshot o una copia de seguridad antes de actualizar.
2. Actualiza PHP desde el gestor de paquetes de tu distribución o desde tu panel de hosting en cuanto la versión corregida esté disponible.
3. Reinicia PHP-FPM, Apache o tu servidor web para que todos los workers carguen la nueva versión. Sin reiniciar, el código anterior sigue en ejecución.
4. Verifica la versión que realmente se está usando, por ejemplo con php -v y con una página phpinfo para tu servidor web. Revisa todas las versiones de PHP instaladas en el servidor.
5. Si no puedes actualizar de inmediato, aplica las medidas provisionales del aviso de seguridad oficial de PHP. Solo reducen la exposición y no hacen segura la instalación. Actualizar es la única solución completa.

Dónde encontrar los parches para tu panel

• cPanel/WHM y EasyApache 4: Las actualizaciones para EasyApache 4 ya están disponibles. Ejecuta ahora la actualización de cPanel (desde WHM o con /scripts/upcp), luego reinicia PHP-FPM/Apache y verifica las versiones de PHP en uso. Las notas de la versión y los anuncios están en docs.cpanel.net.
• Plesk: Las actualizaciones para Plesk Obsidian ya están disponibles. Por favor, actualiza desde el panel de Plesk.
• CloudLinux (Alt-PHP): Sigue la página de estado de CloudLinux y el blog de CloudLinux. CloudLinux también ofrece soporte extendido para versiones de PHP que ya no tienen mantenimiento.
• Distribuciones de Linux: Revisa los avisos de seguridad de tu distribución (Debian, Ubuntu, AlmaLinux, Rocky Linux, RHEL y otras).
• Repositorios de terceros: rpms.remirepo.net, mantenido por voluntarios, no ofrece actualizaciones el día de la publicación. El proyecto PHP recomienda cambiar a los paquetes de la distribución o compilar desde el código fuente.

Mejores prácticas

• Activa las actualizaciones de seguridad automáticas siempre que sea posible y revisa la configuración de actualizaciones de tu panel.
• Elimina las versiones de PHP y las aplicaciones que ya no uses.
• Mantén tu CMS, plugins y temas actualizados.
• Usa un firewall de aplicaciones web y limita el acceso a las interfaces administrativas.
• Revisa si hay señales de compromiso: archivos desconocidos en los directorios web, nuevas tareas cron, procesos inusuales o picos de carga y de tráfico saliente.