Vulnerabilidades Críticas PHP 2026: Actualiza Ahora o Apaga tu Sitio

⚠️ ALERTA ACTIVA: Esta vulnerabilidad ya está siendo explotada. Los gobiernos de la UE, Reino Unido y EE.UU. recomiendan parchar de inmediato o desconectar los sitios afectados. Si administras un servidor con PHP, este artículo es urgente.

¿Qué pasó?

El 21 de octubre de 2026, el equipo de seguridad de PHP lanzó parches de emergencia para dos vulnerabilidades críticas que afectan prácticamente toda versión de PHP desde la 5.4. Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten a atacantes no autenticados ejecutar código arbitrario en el servidor, lo que en ciberseguridad se conoce como RCE (Remote Code Execution).

PHP es el lenguaje de programación del servidor más usado en el mundo: impulsa el 69% de todos los sitios web, según W3Techs. Eso incluye WordPress, Drupal, Joomla y millones de aplicaciones web a nivel global.

Las dos vulnerabilidades explicadas

CVE-2026-109618: Corrupción por límite de memoria

Cuando PHP alcanza su límite de memoria (memory_limit) mientras procesa una solicitud, puede interrumpirse con datos internos solo parcialmente inicializados. El problema: al limpiar esa solicitud fallida, PHP puede tratar esos datos inválidos como válidos, abriendo una ventana para que un atacante inyecte código.

Indicador de compromiso: picos de errores HTTP 500 precedidos de solicitudes multipart inusuales, o errores de “memory limit exceeded” que no cuadraban antes.

CVE-2026-109619: Estado global obsoleto entre solicitudes

En servidores que reutilizan procesos PHP para múltiples solicitudes (como mod_php en Apache), el estado interno de una solicitud puede “sobrevivir” en memoria después de ser liberado. Si una solicitud posterior usa ese estado antes de que se reinicialice, un atacante puede aprovecharlo para tomar control.

Lo más grave: los investigadores de Wiz Research demostraron que es posible leer la memoria del proceso PHP, que puede contener contraseñas, tokens de sesión y claves de API, incluso sin lograr ejecución de código.

Impacto confirmado

Wiz Research demostró explotación exitosa contra imágenes de contenedor actualizadas de WordPress, Drupal y Joomla, y también contra una app PHP básica de “Hello World”. La superficie de ataque es máxima.

Puntuación CVSS v4.0: 9.2 (CRÍTICO)

¿Quién está en riesgo?

Cualquier servidor que corra PHP está potencialmente expuesto. El riesgo es mayor si usas:

• mod_php con Apache (el modo de más alto riesgo: el ataque ocurre antes de que cargue tu aplicación)
• PHP 8.1 o anterior (ya sin soporte oficial de seguridad del proyecto PHP)
• PHP 7.4 o anterior (EOL desde noviembre de 2022, sin actualizaciones de seguridad rutinarias)

Sitios ya afectados

Según los primeros reportes del 21 de octubre:

• Pinboard (servicio de bookmarks): comprometido
• Partes de Wikipedia: incidente confirmado (ver Wikimedia Incident 2026-10-21)
• 4chan y Something Awful: tomados offline preventivamente
• Sitios japoneses, incluyendo guarderías y sistemas de videojuegos (según ITmedia)

El CTO de Cloudflare escribió en X: “Estamos viendo los primeros ataques emergentes y actualizamos mitigaciones a medida que aparecen nuevos vectores.”

Patchstack confirmó recibir “reportes de explotación activa” de sus socios de hosting.

Las versiones parcheadas (actualiza a estas)

PHP 8.1 y anteriores: El proyecto PHP publicó backports mínimos para PHP 7.4, 8.0 y 8.1. Verifica con tu proveedor de hosting o distribución Linux si ya los tiene disponibles. Si no hay parche, aplica las mitigaciones temporales más abajo.

Qué dicen las autoridades

CISA (EE.UU.): Recomienda parchear de inmediato. Declaró que no había observado explotación activa al momento de publicar su aviso, lo que ya cambió horas después.

CERT-EU: “Las organizaciones deberían considerar aislar las aplicaciones con acceso a internet de las redes públicas hasta que haya un parche disponible.”

UK National Cyber Security Centre (NCSC): “Donde la remediación inmediata no sea factible, las organizaciones deberían considerar desconectar el sistema hasta poder mitigarlo completamente.”

NSA y otras agencias gubernamentales también emitieron alertas recomendando desconectar sitios hasta parchear.

OpenAI descubrió las vulnerabilidades a través de su programa de seguridad ofensiva usando modelos ChatGPT, y las reportó a los mantenedores de PHP antes de que fueran explotadas a mayor escala. Publicaron: “Dada la gravedad de estas fallas y el uso extendido de PHP, consideramos este uno de los problemas de seguridad más impactantes de la memoria reciente.”

Cómo protegerte ahora mismo

Paso 1: Actualiza PHP (solución definitiva)

# Verificar versión actual
php -v

# En Ubuntu/Debian con repositorio Ondřej:
sudo apt update && sudo apt upgrade php

# Con cPanel/WHM: Software > EasyApache 4 > actualizar perfil

# Con Plesk: Tools & Settings > Updates > PHP Update

Paso 2: Mitigaciones temporales (si no puedes actualizar ahora)

Para CVE-2026-109618: ajusta los límites en php.ini o en la configuración del servidor:

; En php.ini o en la configuración de FPM/Apache
memory_limit = -1      ; IMPORTANTE: que las apps no puedan sobreescribir esto
post_max_size = 8M     ; (o 32M si necesitas subidas de archivos)
upload_max_filesize = 7M

Importante: No uses RLIMIT_AS ni RLIMIT_DATA como alternativa; no funcionan como mitigación aquí.

Para CVE-2026-109619: deshabilita el progreso de subida de sesiones:

; En php.ini, en el pool de FPM, o en la config del servidor virtualhost
; NO usar ini_set() ni .user.ini, no es suficiente
session.upload_progress.enabled = 0

; En PHP 8.5 también agregar:
fatal_error_backtraces = 0

Reinicia PHP-FPM o Apache después de cada cambio.

Paso 3: Verificar indicadores de compromiso (IoC)

Busca en tus logs:

• Solicitudes multipart/form-data inusuales seguidas de errores HTTP 500
• Cookies PHPSESSID de tamaño anormal o con contenido no estándar
• Reinicios inexplicables de los workers de PHP-FPM
• Picos de errores de “memory limit exceeded” que no existían antes

Paso 4: Si tienes PHP 7.4 o anterior en producción

Esta es tu señal definitiva. PHP 7.4 lleva más de 3 años sin soporte de seguridad oficial. Las distribuciones pueden haber publicado backports de emergencia, pero no es sostenible. Migrar a PHP 8.2+ debe ser tu prioridad esta semana.

Cómo saber si ya fuiste comprometido

Si sospechas explotación activa en tu servidor:

1. Aísla inmediatamente: desconecta del tráfico público si es posible.
2. Revisa logs de acceso en busca de los IoC mencionados arriba.
3. Busca webshells: archivos PHP creados recientemente en directorios del servidor.
4. Revisa credenciales: asume que contraseñas, tokens y claves API almacenadas en memoria pueden estar comprometidas; rótalas.
5. Contacta a un especialista en respuesta a incidentes.

Preguntas frecuentes

¿Afecta solo a WordPress?

No. Afecta a cualquier aplicación que corra sobre PHP: WordPress, Drupal, Joomla, Laravel, Symfony, Magento y cualquier código PHP personalizado. WordPress es solo uno de los ejemplos donde se demostró explotación, por ser el CMS más extendido.

¿Mi hosting ya lo parcheó?

La mayoría de los grandes proveedores de hosting administrado (como WP Engine, Kinsta, Cloudways) recibieron los parches de forma anticipada y los desplegaron el mismo día. Verifica directamente con tu proveedor. Si tienes un VPS o servidor dedicado sin panel, la responsabilidad es tuya.

¿PHP-FPM es menos vulnerable que mod_php?

Sí, relativamente. La arquitectura de PHP-FPM aísla mejor los procesos, lo que hace más difícil, pero no imposible, la explotación. mod_php (integrado directamente en Apache) es el escenario de mayor riesgo porque un atacante puede activar la vulnerabilidad antes de que corra cualquier código de la aplicación.

¿Son explotables en configuraciones por defecto?

Sí. Wiz Research confirmó explotación exitosa en instalaciones por defecto de WordPress, Drupal y Joomla sin ninguna configuración especial.

¿Qué pasa si uso Nginx + PHP-FPM?

Sigue siendo vulnerable. El vector de ataque llega a través de PHP-FPM independientemente del servidor web frontal. Debes actualizar PHP de todas formas.

Conclusión

CVE-2026-109618 y CVE-2026-109619 son un evento de seguridad de nivel crítico. El 69% de los sitios web del mundo corre PHP, y las vulnerabilidades afectan desde PHP 5.4 hasta versiones actuales. La explotación ya está ocurriendo.

La acción correcta es actualizar PHP ahora. Si no puedes hacerlo de inmediato, aplica las mitigaciones temporales y evita exponer el sitio a internet hasta tener el parche.

Si necesitas ayuda para evaluar la exposición de tu infraestructura o responder ante un posible incidente, contáctanos.

Fuentes: NBC News, Patchstack, CISA, CERT-EU, UK NCSC, OpenAI, Cloudflare, Wiz Research, W3Techs.