Actualizado y verificado el 25 de octubre de 2026.
Si has leído que hay una nueva vulnerabilidad de PHP, la pregunta práctica es esta: ¿tu proveedor ha revisado la versión que ejecuta tu web y las medidas que le corresponden?
Los avisos de octubre requieren distinguir dos fallos críticos corregidos el día 21 y un aviso adicional publicado el día 23. Actualizar es urgente, pero no conviene confundir qué resuelve cada medida.
Qué se confirmó el 21 de octubre
El equipo de PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619. Ambos problemas pueden permitir ejecución remota de código sin autenticación. Sus avisos técnicos los califican como críticos, con puntuación CVSS 4.0 de 9,2 sobre 10.
El primero se relaciona con el tratamiento de errores de memoria; el segundo, con estado interno que puede seguir apuntando a memoria liberada. La posibilidad concreta de explotación depende del entorno y la configuración. Fuentes: aviso de CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w y aviso de CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp.
Versiones afectadas y correcciones de esos dos CVE
En las ramas mantenidas indicadas por el aviso, las versiones anteriores a estas correcciones están afectadas:
• PHP 8.2.x anterior a 8.2.35 → corrección en 8.2.35.
• PHP 8.3.x anterior a 8.3.36 → corrección en 8.3.36.
• PHP 8.4.x anterior a 8.4.27 → corrección en 8.4.27.
• PHP 8.5.x anterior a 8.5.12 → corrección en 8.5.12.
Estos números corresponden a CVE-2026-109618 y CVE-2026-109619. Si tu distribución aplica parches propios, pide al proveedor confirmación del paquete corregido: el número visible puede no contar toda la historia. PHP 8.1 y anteriores ya no reciben mantenimiento ordinario del proyecto PHP; algunos proveedores ofrecen correcciones retroportadas. Aviso oficial de PHP: https://www.php.net/archive/2026.php.
La ampliación del 23 de octubre: CVE-2026-115560
El Centro Canadiense de Ciberseguridad confirma que CVE-2026-115560 no queda corregido por las versiones publicadas el día 21. Requiere una combinación poco habitual de configuración y comportamiento de la aplicación: cambiar el gestor de serialización de sesiones durante la ejecución, con determinadas condiciones previas y el seguimiento de progreso de subida habilitado.
PHP recomienda desactivar temporalmente esa función mediante session.upload_progress.enabled=0 mientras llega la corrección correspondiente. El ajuste debe hacerlo y verificarlo el responsable del servidor según el aviso oficial. Si ya se aplicó esa mitigación y se conserva, el aviso no pide una medida adicional específica para este tercer CVE. Ampliación del 23 de octubre: https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619.
No presentes una actualización del día 21 como protección completa frente al aviso adicional.
Qué pedir hoy a quien gestiona tu alojamiento
Solicita una respuesta concreta sobre estos puntos:
1. Qué aplicaciones usan PHP y qué versión o paquete corregido ejecuta cada una, incluidos subdominios y servicios menos visibles.
2. Si se han aplicado las correcciones para los dos CVE del día 21 y se ha revisado el aviso adicional del día 23.
3. Qué prueba confirma que el servicio está ejecutando el cambio. Seleccionar una versión en un panel no sustituye la comprobación del servicio real.
4. Qué revisión de actividad sospechosa se ha realizado y cómo se comunicará una incidencia.
Actualizar con revisión y sin demoras innecesarias
Coordina una copia recuperable y comprueba la compatibilidad de la aplicación. Después del cambio, revisa los recorridos esenciales: acceso, formularios, reservas o compras, según tu web.
Si no puedes corregir de inmediato, pide al responsable técnico que valore aislamiento o retirada temporal de la exposición pública según las indicaciones de los organismos de ciberseguridad. Las medidas parciales no deben convertirse en una excusa para mantener indefinidamente un sistema vulnerable. Recomendación del NCSC: https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php.
Preguntas frecuentes
¿Esto afecta solo a WordPress?
No. El aviso de PHP incluye instalaciones que atienden peticiones web mediante distintos entornos, como PHP-FPM, mod_php y LiteSpeed. El software que utiliza PHP también necesita revisión. Alcance del aviso oficial: https://www.php.net/archive/2026.php.
¿Mi web está comprometida porque usa PHP?
Usar PHP no demuestra un compromiso. Hay que conocer versión, parches, configuración y evidencias de actividad. Este artículo no constituye una auditoría de una web concreta.
¿Debo copiar un ajuste de internet en mi servidor?
Pide que lo revise quien administra el entorno. Una configuración puede afectar a las funciones de la aplicación y debe comprobarse en su contexto.
En BB Smart Solutions podemos ayudarte a organizar la revisión y coordinar los siguientes pasos con el proveedor. Cuéntanos tu situación en https://bbsmartsolutions.es/#contacto.
Leomi te recuerda: «Pregunta por el parche aplicado y la comprobación realizada. La tranquilidad necesita evidencias».
Si has leído que hay una nueva vulnerabilidad de PHP, la pregunta práctica es esta: ¿tu proveedor ha revisado la versión que ejecuta tu web y las medidas que le corresponden?
Los avisos de octubre requieren distinguir dos fallos críticos corregidos el día 21 y un aviso adicional publicado el día 23. Actualizar es urgente, pero no conviene confundir qué resuelve cada medida.
Qué se confirmó el 21 de octubre
El equipo de PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619. Ambos problemas pueden permitir ejecución remota de código sin autenticación. Sus avisos técnicos los califican como críticos, con puntuación CVSS 4.0 de 9,2 sobre 10.
El primero se relaciona con el tratamiento de errores de memoria; el segundo, con estado interno que puede seguir apuntando a memoria liberada. La posibilidad concreta de explotación depende del entorno y la configuración. Fuentes: aviso de CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w y aviso de CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp.
Versiones afectadas y correcciones de esos dos CVE
En las ramas mantenidas indicadas por el aviso, las versiones anteriores a estas correcciones están afectadas:
• PHP 8.2.x anterior a 8.2.35 → corrección en 8.2.35.
• PHP 8.3.x anterior a 8.3.36 → corrección en 8.3.36.
• PHP 8.4.x anterior a 8.4.27 → corrección en 8.4.27.
• PHP 8.5.x anterior a 8.5.12 → corrección en 8.5.12.
Estos números corresponden a CVE-2026-109618 y CVE-2026-109619. Si tu distribución aplica parches propios, pide al proveedor confirmación del paquete corregido: el número visible puede no contar toda la historia. PHP 8.1 y anteriores ya no reciben mantenimiento ordinario del proyecto PHP; algunos proveedores ofrecen correcciones retroportadas. Aviso oficial de PHP: https://www.php.net/archive/2026.php.
La ampliación del 23 de octubre: CVE-2026-115560
El Centro Canadiense de Ciberseguridad confirma que CVE-2026-115560 no queda corregido por las versiones publicadas el día 21. Requiere una combinación poco habitual de configuración y comportamiento de la aplicación: cambiar el gestor de serialización de sesiones durante la ejecución, con determinadas condiciones previas y el seguimiento de progreso de subida habilitado.
PHP recomienda desactivar temporalmente esa función mediante session.upload_progress.enabled=0 mientras llega la corrección correspondiente. El ajuste debe hacerlo y verificarlo el responsable del servidor según el aviso oficial. Si ya se aplicó esa mitigación y se conserva, el aviso no pide una medida adicional específica para este tercer CVE. Ampliación del 23 de octubre: https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619.
No presentes una actualización del día 21 como protección completa frente al aviso adicional.
Qué pedir hoy a quien gestiona tu alojamiento
Solicita una respuesta concreta sobre estos puntos:
1. Qué aplicaciones usan PHP y qué versión o paquete corregido ejecuta cada una, incluidos subdominios y servicios menos visibles.
2. Si se han aplicado las correcciones para los dos CVE del día 21 y se ha revisado el aviso adicional del día 23.
3. Qué prueba confirma que el servicio está ejecutando el cambio. Seleccionar una versión en un panel no sustituye la comprobación del servicio real.
4. Qué revisión de actividad sospechosa se ha realizado y cómo se comunicará una incidencia.
Actualizar con revisión y sin demoras innecesarias
Coordina una copia recuperable y comprueba la compatibilidad de la aplicación. Después del cambio, revisa los recorridos esenciales: acceso, formularios, reservas o compras, según tu web.
Si no puedes corregir de inmediato, pide al responsable técnico que valore aislamiento o retirada temporal de la exposición pública según las indicaciones de los organismos de ciberseguridad. Las medidas parciales no deben convertirse en una excusa para mantener indefinidamente un sistema vulnerable. Recomendación del NCSC: https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php.
Preguntas frecuentes
¿Esto afecta solo a WordPress?
No. El aviso de PHP incluye instalaciones que atienden peticiones web mediante distintos entornos, como PHP-FPM, mod_php y LiteSpeed. El software que utiliza PHP también necesita revisión. Alcance del aviso oficial: https://www.php.net/archive/2026.php.
¿Mi web está comprometida porque usa PHP?
Usar PHP no demuestra un compromiso. Hay que conocer versión, parches, configuración y evidencias de actividad. Este artículo no constituye una auditoría de una web concreta.
¿Debo copiar un ajuste de internet en mi servidor?
Pide que lo revise quien administra el entorno. Una configuración puede afectar a las funciones de la aplicación y debe comprobarse en su contexto.
En BB Smart Solutions podemos ayudarte a organizar la revisión y coordinar los siguientes pasos con el proveedor. Cuéntanos tu situación en https://bbsmartsolutions.es/#contacto.
Leomi te recuerda: «Pregunta por el parche aplicado y la comprobación realizada. La tranquilidad necesita evidencias».
Conversemos.
¿Qué opinas sobre este tema? Comparte tu experiencia con la comunidad de BB Smart Blog.