--- canonical_url: "https://blogdemedios.com/contenido/102036/vulnerabilidad-critica-en-php-que-se-sabe-y-como-proteger-tu-sitio" title: "Vulnerabilidad crítica en PHP: qué se sabe y cómo proteger tu sitio" article_type: "NewsArticle" description: "PHP corrigió dos fallas críticas que permiten ejecutar código a distancia sin autenticación. Qué versiones actualizar y qué hacer si tenés un sitio en PHP." main_image: "https://blogdemedios.com/download/multimedia.normal.ac832e354673acc8.bm9ybWFsLndlYnA%3D.webp" date_published: "2026-10-21T12:04:00-03:00" date_modified: "2026-10-21T12:06:21-03:00" tags: - "PHP" - "seguridad web" - "vulnerabilidades" author_name: "Jeremías G. Ruiz" author_url: "https://blogdemedios.com/usuario/2/jeremias-g-ruiz" author_bio: "Emprendedor tecnológico, investigador independiente y estratega de medios digitales. CEO en Medios CMS y director de Blog de Medios, se especializa en la arquitectura de sistemas de contenidos y el análisis del ecosistema publicitario. Colaborador en sitios webs amigos donde aplica su enfoque técnico y crítico para analizar la ingeniería, eficiencia y tecnología." author_social_links: - "https://x.com/jeregruiz" - "http://www.linkedin.com/in/jeremias-g-ruiz" - "https://www.instagram.com/jeremiasgruiz/" - "http://youtube.com/jeremiasruiz" category_name: "Seguridad" category_url: "https://blogdemedios.com/categoria/21/seguridad" --- # Vulnerabilidad crítica en PHP: qué se sabe y cómo proteger tu sitio ![VulnerabilidadcríticaenPHPquésesabeycómoprotegertusitio](/download/multimedia.normal.ac832e354673acc8.bm9ybWFsLndlYnA%3D.webp) El proyecto PHP publicó este miércoles 21 de octubre de 2026 actualizaciones de emergencia para corregir dos vulnerabilidades críticas que, en determinadas condiciones, permiten a un atacante ejecutar código en un servidor de forma remota y sin necesidad de autenticarse. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y el equipo de seguridad del lenguaje pidió actualizar de inmediato. ## Qué se descubrió Los fallos fueron identificados como CVE-2026-109618 y CVE-2026-109619. Según el [aviso de seguridad publicado en php.net](https://www.php.net/), el primero está vinculado al manejo de errores por falta de memoria: ese proceso puede interrumpir a PHP mientras los datos internos de una solicitud están inicializados solo en parte, y la limpieza posterior puede tratar esos datos inválidos como válidos. El segundo tiene que ver con estado interno que sobrevive después de que se liberó la memoria que lo respaldaba, de modo que una solicitud siguiente atendida por el mismo proceso puede usar ese estado "viejo" antes de que se reinicie. Las dos fallas recibieron una puntuación de 9,2 sobre 10 en la escala CVSS v4.0, con nivel crítico, de acuerdo con el [anuncio previo del equipo de seguridad de PHP](https://news-web.php.net/php.announce/509) y los avisos técnicos publicados en GitHub ([GHSA-w8hw-w9fx-j79w](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) y [GHSA-6wmf-4rv5-p3rp](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp)). En uno de esos avisos, los desarrolladores indican que validaron la ejecución remota completa de código por HTTP contra servidores Apache con mod_php y la configuración por defecto, aunque aclaran que la confiabilidad de un ataque depende de cada instalación. ## A quiénes afecta El alcance es amplio. PHP sigue siendo el lenguaje del lado del servidor más extendido en la web: [según W3Techs](https://w3techs.com/technologies/details/pl-php), lo usa el 69,3% de los sitios cuyo lenguaje de servidor se puede identificar (dato al 21 de octubre de 2026). Eso incluye una gran cantidad de gestores de contenido, tiendas online, foros y aplicaciones a medida. El proyecto PHP señala que están en riesgo todas las instalaciones que atienden solicitudes web, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y considera que el riesgo es mayor con mod_php. El Centro Nacional de Ciberseguridad del Reino Unido ([NCSC](https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php)) fue más allá y recomendó no limitarse a revisar versiones viejas, sino identificar todas las instalaciones de PHP, empezando por las expuestas a internet. Un punto sensible son las versiones antiguas: PHP 8.1 y anteriores ya no reciben actualizaciones oficiales. Dada la gravedad del caso, el equipo publicó parches mínimos para PHP 7.4, 8.0 y 8.1 pensados para quienes compilan desde el código fuente, mientras que algunas distribuciones de Linux y proveedores de soporte extendido ofrecen sus propias correcciones. Además, PHP 8.2 dejará de recibir parches de seguridad el 31 de diciembre de 2026. ## Qué tienen que hacer los responsables de sitios La recomendación central es una sola: actualizar. El propio proyecto aclara que no hay mitigaciones completas y que la actualización es la única opción segura. En la práctica, conviene: **Confirmar la versión de PHP** que usa cada sitio y consultar con el proveedor de hosting cuándo aplicará las versiones 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o los paquetes corregidos de la distribución de Linux que corresponda (según PHP, las distribuciones recibieron los parches por adelantado). **Planificar la migración** si el sitio funciona con PHP 8.1 o anterior, ya que esas ramas dependen de parches de terceros. **Aplicar medidas transitorias** solo si no se puede actualizar enseguida. El aviso de php.net detalla ajustes de configuración, como desactivar `session.upload_progress.enabled` o limitar el tamaño de las solicitudes, pero advierte que reducen la exposición a algunos caminos de ataque y no vuelven segura la instalación. **Revisar si hubo intrusiones**: el NCSC sugiere que, si un sistema no puede actualizarse ni mitigarse rápido, se evalúe sacarlo de línea y se busquen señales de compromiso o puertas traseras. ## Medios CMS no está afectado Medios CMS, la plataforma sobre la que funciona este blog, no utiliza PHP, por lo que no está alcanzado por estas dos vulnerabilidades. Para quienes gestionan sitios propios sobre PHP, en cambio, este es un buen momento para revisar su infraestructura y asegurarse de que alguien esté a cargo de aplicar las actualizaciones de seguridad a tiempo. --- *Contenido creado y optimizado para IA con [Medios CMS](https://medios.io)* — Plataforma profesional para la gestión de medios digitales y portales de noticias.