PHP publica parches de emergencia para dos fallos críticos de RCE explotados antes de su divulgación

El proyecto PHP publicó parches de seguridad de emergencia el 21 de octubre de 2026 para corregir dos vulnerabilidades críticas de ejecución remota de código no autenticada, pero los atacantes ya las estaban explotando desde el 17 de octubre, cuatro días antes de que llegaran las correcciones. La Agencia de Seguridad Nacional de EE. UU. aconsejó a las organizaciones que utilizan PHP actualizar de inmediato o desconectar los sistemas afectados.

Ambos fallos tienen una puntuación CVSS v4.0 de 9.2. Sitios web gubernamentales, escuelas y hospitales de todo el mundo quedaron fuera de servicio durante el proceso de parcheado de emergencia, según Reuters. Los expertos en seguridad compararon el alcance con la crisis Heartbleed de 2014, señalando que en algunos aspectos la supera.

Qué son las vulnerabilidades

CVE-2026-109618 es un fallo de corrupción de memoria por agotamiento de memoria. Si una petición PHP alcanza el límite de memoria en el momento equivocado, el entorno de ejecución puede dejar datos parcialmente inicializados que PHP trata posteriormente como válidos. En Apache con mod_php, un atacante no autenticado puede activarlo antes de que se ejecute el código de la aplicación, y se demostró RCE completa con configuraciones predeterminadas.

CVE-2026-109619 aprovecha estado global obsoleto. Un error fatal en el momento incorrecto puede dejar el estado interno de PHP apuntando a memoria de una petición anterior. Una petición posterior en el mismo proceso worker puede explotar ese puntero colgante, habilitando use-after-free y RCE confirmada.

Herramientas de IA encontraron los fallos; la filtración del embargo aceleró la crisis

Varios equipos de investigación encontraron la causa raíz de forma independiente desde agosto de 2026. Alpha-Omega había analizado PHP con Claude Mythos de Anthropic. Los participantes en el programa Patch the Planet de OpenAI presentaron el primer informe completo de RCE el 11 de agosto. El 20 de octubre, los CVE IDs y una puntuación CVSS incorrecta de 10.0 se filtraron en línea. Horas después, el investigador Calif publicó accidentalmente un vídeo de prueba de concepto funcional. A la mañana siguiente, Chainguard rompió el embargo publicando imágenes Docker parcheadas más de seis horas antes. Los analistas de AWS confirmaron a Wired que la explotación comenzó el 17 de octubre.

La corrección tardó meses, y eso fue el verdadero fallo

PHP Foundation reconoció en un post-mortem que la causa raíz fue identificada en 2024 pero la corrección se retrasó meses por desacuerdos sobre las compensaciones de implementación. La Foundation lo llamó «un fallo estructural» y anunció un nuevo Equipo de Seguridad del Ecosistema, contrataciones adicionales y cambios en los procesos de toma de decisiones.