El proyecto PHP publicó este miércoles 21 de octubre el aviso de seguridad y adelantó un lanzamiento previsto para el 22 de octubre. La agencia europea ENISA consignó que las actualizaciones salieron ese día a las 13:40 UTC.
Según informaron medios, quedaron fuera de línea DigiD, el sitio del Parlamento y el Centro Nacional de Ciberseguridad de Países Bajos, servicios web del Gobierno finlandés, páginas de administraciones francesas, incluida la Prefectura de Policía de París, y algunos sistemas de Wikimedia, que gestiona Wikipedia. La lista publicada es de ejemplos, no un inventario completo.
Esas desconexiones fueron medidas preventivas. La PHP Foundation informó que no había identificado exploits funcionales al momento de la divulgación. Cloudflare informó que observó tráfico de ataque dirigido a sus clientes.
Qué fallas se corrigieron
El aviso de PHP identifica dos fallas, CVE-2026-109618 y CVE-2026-109619, ambas con puntaje CVSS 4.0 de 9,2. Bajo determinadas condiciones, podían permitir la ejecución remota de código sin autenticación en servidores vulnerables.
El mismo aviso describe dos problemas distintos. Una falla puede dejar datos internos parcialmente inicializados tras un error de falta de memoria. La otra puede dejar a un proceso trabajador usando información de una solicitud anterior después de que esa memoria fue liberada. El riesgo, indica PHP, alcanza a las instalaciones que procesan solicitudes web.
La PHP Foundation informó que Calif y OpenAI reportaron por separado, el 11 de agosto, un problema relacionado con la falta de memoria, y que Wiz comunicó otras vías de ataque el 24 de agosto. OpenAI dijo que Calif usó GPT-5.6 Sol para detectar una falla, y Wiz informó el uso de herramientas de inteligencia artificial en su investigación. Los identificadores CVE empezaron a circular el martes 20 de octubre, aunque entonces no se habían divulgado detalles técnicos. En otro episodio de seguridad, agentes de IA accedieron a webs de más de 100 empresas tras atacar más de 1.200 sitios.
Qué versiones hay que instalar
PHP publicó como corregidas las ramas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. En el aviso, el equipo de seguridad escribió: «All PHP users are strongly encouraged to update immediately».
PHP 8.1 y las versiones anteriores ya no reciben actualizaciones regulares propias, aunque distribuciones y proveedores de soporte extendido pueden ofrecer parches retroportados. PHP 8.2 dejará de recibir correcciones de seguridad el 31 de diciembre.
Cómo revisar WordPress y qué pide ENISA
Quienes administran un sitio con WordPress pueden revisar la versión de PHP en Herramientas, Salud del sitio, Información y Servidor. WordPress.org aclara que estas fallas no requieren una actualización de WordPress: hay que actualizar PHP o consultar al proveedor de hosting si este administra el servidor.
ENISA recomendó identificar las aplicaciones basadas en PHP, coordinar la actualización con los proveedores de hosting y de servicios, y priorizar los sistemas expuestos a internet. Si no se puede aplicar el parche de inmediato, aconsejó considerar aislar esos sistemas de las redes públicas.
