El equipo de seguridad de PHP anunció una actualización para el miércoles 21 de octubre a las 14:00 UTC (11:00 en la Argentina) que corrige dos vulnerabilidades con puntaje 9,2. Los detalles no se habían publicado cuando se redactó esta nota. (Fuente: BleepingComputer)
El equipo de desarrollo de PHP avisó con anticipación que publicará actualizaciones de seguridad de emergencia el miércoles 21 de octubre a las 14:00 UTC, que son las 11:00 de la Argentina, para corregir dos vulnerabilidades críticas, cada una con un puntaje de 9,2 en CVSS v4.0. Según BleepingComputer, el aviso se publicó el martes 20, porque información sobre las fallas se habría filtrado antes de la divulgación prevista. Esta nota se redactó el 20 de octubre, antes de ese lanzamiento: conviene revisar en php.net si las actualizaciones ya están disponibles.
Qué se sabe
- Qué son: los investigadores de watchTowr dijeron a BleepingComputer que son vulnerabilidades de ejecución remota de código, identificadas como CVE-2026-109618 y CVE-2026-109619, que creen que afectan a las versiones 5, 6, 7 y 8 de PHP. PHP no confirmó las versiones afectadas, cómo se explotan ni en qué versiones llegará la corrección.
- Reproducción: watchTowr cree haber reproducido la CVE-2026-109618, pero no publicará detalles técnicos hasta que haya parches.
- Explotación: los investigadores dicen no haber observado explotación activa. PHP advirtió que podría adelantar el lanzamiento si se hacen públicos detalles técnicos o hay evidencia de explotación.
La filtración y los datos que no coinciden
La advertencia sigue a una publicación ya borrada en Hacker News, donde un usuario afirmó que dos fallas críticas de ejecución remota se divulgarían el 22 de octubre, con puntaje 10,0 y alcance hasta PHP 5. Esos datos difieren del anuncio oficial, que fija un puntaje de 9,2 y el 21 de octubre. Además, circulan reportes sin confirmar de que solo PHP 8 recibiría parches, algo coherente con que PHP solo publica correcciones para las ramas con soporte, lo que dejaría sin arreglo a las instalaciones de versiones más viejas, si se confirma que las afecta.
Qué hacer
Los administradores deberían identificar ya las instalaciones de PHP y prepararse para actualizar apenas estén disponibles las versiones corregidas. Quien use versiones anteriores a PHP 8 debería planear su migración, ya que podrían no recibir parche.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.
Descubre más desde
Suscríbete y recibe las últimas entradas en tu correo electrónico.