PHP ha publicado una actualización de seguridad para dos fallos críticos que pueden permitir ejecutar código en un servidor sin iniciar sesión. Las nuevas versiones salieron el 21 de octubre. PHP es el lenguaje con el que funcionan WordPress, PrestaShop y buena parte de las webs pequeñas, así que afecta a casi cualquiera que tenga una web en un hosting.
Qué fallos son
Según el aviso de php.net, los dos tienen una gravedad de 9,2 sobre 10 (CVSS 4.0):
- CVE-2026-109618: si PHP se queda sin memoria a mitad de una petición, puede tratar como válidos datos que no lo son. El riesgo es mayor con mod_php, el modo clásico de Apache.
- CVE-2026-109619: datos de una petición pueden quedarse en memoria ya liberada y usarse en la siguiente.
PHP dice que actualizar es la única solución completa. 3DNews cuenta que la publicación estaba prevista para el 22 de octubre y se adelantó un día porque los detalles se filtraron.
Qué versiones están corregidas
- Corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- Sin parche oficial: PHP 8.1 y anteriores. Para 7.4, 8.0 y 8.1 hay parches mínimos, pero hay que compilarlos o depender de tu proveedor.
- Ojo con 8.2: deja de recibir soporte el 31 de diciembre de 2026.
Si no puedes actualizar ya, php.net propone medidas temporales: reducir el tamaño máximo de las peticiones, desactivar session.upload_progress y reiniciar los procesos de PHP. Avisa de que reducen el riesgo, pero no hacen segura la instalación.
Recibe las noticias de ETR en Telegram ; abre otra pestaña
ETR//FUENTES
