Se han detectado dos vulnerabilidades críticas de ejecución remota de código en el propio PHP . Se consideran afectadas todas las versiones.
Lasvulnerabilidades, CVE-2026-109618 y CVE-2026-109619, tienen ambas una puntuación CVSS v4.0 de 9,2. El equipo de seguridad de PHP publicará las correcciones el 21 de octubre de 2026 a las 16:00 CEST / 10:00 EDT / 07:00 PT.
Si utilizas PHP en cualquier parte de tu pila de aplicaciones, mantente atento a las soluciones provisionales y los parches. Prepárate para tomar medidas.
Estamos colaborando con la Fundación PHP y la comunidad de seguridad para coordinar la publicación de parches y más información. Estamos trabajando para lanzar imágenes de Aikido que corrijan las vulnerabilidades sin necesidad de actualizaciones extensas.
Qué ocurrió
El equipo de seguridad de PHP publicó un aviso previo el 20 de octubre, después de que se filtrara información sobre las vulnerabilidades antes de la fecha de divulgación prevista. Investigadores independientes confirmaron que las vulnerabilidades eran reales, por lo que el equipo de PHP adelantó la publicación al 21 de octubre. Las vulnerabilidades siguen circulando.
Fuentes abiertas han identificado el comportamiento vulnerable fuera del periodo de embargo, y es más probable que los actores maliciosos intenten aprovecharlo antes de que estén disponibles los parches.
Cómo funcionan las vulnerabilidades
No vamos a revelar detalles sobre la explotación mientras se sigan aplicando parches a los sistemas. Mañana se hará pública más información junto con los parches, o antes si se hicieran públicos detalles sobre cualquiera de las vulnerabilidades o si aparecieran indicios de una explotación activa. Consulta la página web de PHP para obtener más información.
