El equipo de seguridad de PHP publicó versiones corregidas para dos vulnerabilidades críticas que pueden permitir ejecución remota de código sin iniciar sesión en servidores web afectados. Los identificadores son CVE-2026-109618 y CVE-2026-109619. Las versiones que contienen la solución son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, disponibles desde el 21 de octubre.
La primera falla involucra corrupción de memoria durante el manejo de errores por falta de memoria. La segunda se relaciona con estado interno de una solicitud que puede permanecer tras liberarse la memoria y ser usado por una petición posterior del mismo proceso. El proyecto considera que el riesgo abarca instalaciones PHP que atienden solicitudes web, incluidas configuraciones con PHP-FPM, Apache `mod_php`, `php-cgi`, FrankenPHP y LiteSpeed. Señala un riesgo especialmente alto para `mod_php`, donde se demostró un ataque antes de ejecutar código de la aplicación.
Para quienes administran sitios en México, la acción prioritaria es revisar la versión de PHP y obtener el paquete corregido del proveedor correspondiente. Las distribuciones Linux y algunos vendedores de soporte extendido recibieron parches anticipados y pueden publicar una numeración distinta. PHP 8.1 y anteriores ya no reciben actualizaciones ordinarias del proyecto; algunas distribuciones ofrecen correcciones retroportadas, por lo que debe consultarse su aviso.
El equipo de seguridad describe medidas que reducen exposición cuando una actualización inmediata no es posible, pero advierte que ninguna sustituye por completo al parche. No hay base para afirmar que un firewall de aplicaciones elimine el riesgo en todas las configuraciones.
.png)
0 Comentarios