PHP es usado por casi el 70% de paginas web. El día 21 de Octubre del presente año, el equipo de seguridad de PHP liberó actualizaciones de emergencia para corregir dos vulnerabilidades criticas, con puntuación CVSS4.0 de 9.2, en su lenguaje de programación PHP. Las vulnerabilidades registradas como CVE-2026-109618 y CVE-2026-109619 representan un gran riesgo ya que afectan directamente al entorno de ejecución (runtime) de PHP y no a una aplicación en particular. Debido a esto, incluso aplicaciones con código seguro pueden quedar expuestas.

Toda implementación de PHP como PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed, o cualquier otra que procese solicitudes web, se encuentra potencialmente expuesta. Apache mod_php representa el mayor riesgo ya que una explotación exitosa en este modulo puede ejecutarse antes de que la aplicación procese la solicitud.

Esta vulnerabilidad podria permitir que un atacante no autenticado ejecute codigo remotamente debido a un error al manejar solicitudes que alcanzan el limite de memoria configurado (memory_limit). Bajo estas condiciones, PHP podría dejar estructuras internas parcialmente inicializadas y posteriormente interpretarlas como válidas, provocando corrupción de memoria.

CVE-2026-109619

Un error en el manejo de regiones de memoria podria permitir que un atacante no autenticado ejecute codigo remotamente debido a que el runtime de PHP conserva referencias internas hacia regiones de memoria que pertenecían a una solicitud previa, y cuando se procesa una nueva solicitud, podría reutilizar esa memoria ya liberada, generando una condición de tipo use-after-free.

Actualizar a las versiones corregidas es la unica forma de corregir las vulnerabilidades completamente. Sin embargo, en caso de no poder aplicar las actualizaciones inmediatamente, se recomienda aplicar las siguientes medidas:

• Configurar memory_limit= -1 para impedir que las aplicaciones puedan modificar este valor.
• Mantener un valor reducido para post_max_size.
• Implementar controles de tamaño de solicitud (request-size limits) en el servidor web o en proxies inversos.
• No utilizar RLIMIT_AS ni RLIMIT_DATA como mecanismos de mitigación alternativos, ya que el propio equipo de PHP advierte que estas opciones pueden desencadenar la misma ruta vulnerable asociada a la falla.
• Deshabilitar la funcionalidad de seguimiento de carga de archivos usando session.upload_progress.enabled=0
• Reiniciar todos los procesos worker de PHP para eliminar cualquier estado residual en memoria.
• En implementaciones de PHP 8.5, configurar adicionalmente: fatal_error_backtraces=0

PHP es ampliamente utilizado en software y servicios de fabricantes importantes en la industria de la tecnologia, por lo que han compartido su postura respecto a estas vulnerabilidades:

Palo Alto Networks ha identificado que sus productos PAN-OS (versiones: 12.2, 12.1, 11.2, 11.1 y 10.2) y todas las versiones de Panorama se encuentran expuestos a estas vulnerabilidades. Al momento no han liberado actualizaciones para mitigar estas vulnerabilidades ni han proporcionado una fecha estimada, pero han mencionado que el riesgo en estos productos se reduce cuando el acceso a la interfaz de administración se encuentra restringido exclusivamente a direcciones IP internas de confianza. Ademas han compartido los siguientes workarounds:

• Redirigir el tráfico entrante destinado al puerto de administración (MGT) a través de una interfaz de plano de datos (DP), por ejemplo, habilitando un perfil de administración en una interfaz DP para gestionar el acceso administrativo.
• Reemplazar el certificado utilizado para la administración de tráfico entrante, asegurando el uso de certificados apropiados y actualizados.
• Habilitar la inspección y descifrado del tráfico dirigido a la interfaz de administración, permitiendo que el firewall analice las solicitudes antes de que alcancen los servicios de gestión.
• Activar las políticas de Threat Prevention sobre el tráfico entrante dirigido a los servicios de administración, con el fin de bloquear intentos de explotación utilizando las firmas correspondientes.

Fortinet comunicó que esta investigando 5 productos: FortiDDoS, FortiDDoS-F, FortiClient Cloud Services, FortiSOAR, FortiSOAR PaaS para identificar los riesgos y acciones a realizar.

Cisco ha mencionado que al dia del 22 de Octubre no se han encontrado productos afectados. Sin embargo, más de 20 productos se encuentran bajo revisión, entre ellos: Meraki, Splunk, Cisco Identity Services Engine (ISE), Cisco Catalyst SD-WAN Manager, Cisco IoT Control Center, Cisco+ Secure Connect, etc. 

Amazon comentó en su boletin de seguridad que sus servicios de AWS no se han visto afectados. Sin embargo, han aplicado medidas de mitigación en sus productos: Elastic Beanstalk, WorkMail, Amazon Linux y Amazon Lightsail. 

En Ubuntu se han identificado 8 versiones afectadas para las cuales se liberaron parches de seguridad:

Google informó que aunque la infraestructura de Google Cloud no es vulnerable, las aplicaciones que ejecutan versiones afectadas de PHP dentro de servicios o recursos alojados en Google Cloud sí pueden estar expuestas.

Aunque no se ha confirmado la explotación activa de estas vulnerabilidades, se han observado intentos desde las siguientes 6 direcciones IP desde el 17 de Octubre:

• 103.216.220[.]92
• 31.223.184[.]166
• 37.19.200[.]5
• 134.209.159[.]64
• 103.114.163[.]188
• 95.217.98[.]37