PHP publica hoy parches de emergencia para dos fallas críticas cuyos detalles se filtraron antes de tiempo

CVE-2026-109618 y CVE-2026-109619, con puntuación de 9.2, permitirían ejecutar código a distancia. CERT-EU recomienda aislar las aplicaciones que no puedan actualizarse de inmediato.

El equipo de seguridad de PHP publicará este miércoles 21 de octubre, a las 14:00 UTC (10:00 a.m. en República Dominicana), actualizaciones de emergencia para dos vulnerabilidades críticas, informó BleepingComputer. Ambas tienen una puntuación de 9.2 en la escala CVSS v4.0, y sus detalles se filtraron antes de la fecha de divulgación coordinada.

Las fallas se identifican como CVE-2026-109618 y CVE-2026-109619 y se conocen como PHP2Shell. Según la firma watchTowr, permiten ejecutar código a distancia y afectarían a PHP 5, 6, 7 y 8. «No podemos compartir información técnica en este momento por razones obvias, dada la sensibilidad, pero podemos confirmar que estas vulnerabilidades son reales», dijo Benjamin Harris, CEO de watchTowr, que asegura haber reproducido la primera.

PHP adelantó la publicación. «Nos reservamos el derecho de publicar antes si los detalles de cualquiera de las vulnerabilidades se hacen públicos, o si aparece evidencia de explotación activa», advirtió el proyecto. watchTowr y Huntress dicen no haber visto ataques, pero la firma Sansec estima que la explotación masiva empezará unos 15 minutos después de que salgan los parches, según SecurityWeek.

La alerta pesa porque PHP mueve sitios hechos con WordPress, Drupal, Joomla y Magento. CERT-EU, el equipo que protege a las instituciones europeas, pidió identificar todas las aplicaciones PHP y prepararse para actualizarlas a la vez; donde no sea posible, recomendó «considerar aislar las aplicaciones expuestas a internet de las redes públicas hasta que se pueda aplicar una corrección». El Centro Australiano de Ciberseguridad emitió una guía similar.

PHP publicará junto con los parches los detalles técnicos, las versiones afectadas y las versiones corregidas. Los administradores de sitios y los proveedores de hosting deberían tener listo desde temprano el inventario de servidores con PHP para actualizar apenas esté disponible la corrección.

Fuentes: BleepingComputer: «PHP warns admins of two critical flaws, emergency patches coming tomorrow», 20 de octubre de 2026; SecurityWeek: «PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws», 21 de octubre de 2026; The Next Web: «EU cybersecurity team says unpatched PHP sites may need to go offline», 21 de octubre de 2026.