El proyecto PHP publicó, el miércoles 21 de octubre de 2026 a las 14 h UTC, las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 de su lenguaje de programación. Corrigen dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, calificadas con 9,2 en la escala CVSS v4.0, que pueden permitir una ejecución remota de código sin autenticación. Un identificador CVE designa una falla de seguridad referenciada, y la puntuación CVSS mide su gravedad.
Según el editor, todas las instalaciones que atienden solicitudes web están afectadas, bajo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed, siendo el riesgo mayor con mod_php. Ese mismo día, el CERT-FR actualizó su alerta CERTFR-2026-ALE-014, y el Ministerio del Interior cerró sus sitios expuestos, incluidas las prefecturas. La cronología publicada por la PHP Foundation indica que el defecto que originó la primera falla fue identificado desde 2024, sin vector de explotación conocido.
Un defecto detectado durante la auditoría de 2024
En 2024, PHP pasa su primera auditoría externa de seguridad en años. Financiada por la Sovereign Tech Agency alemana, organizada por OSTIF y realizada por la empresa francesa Quarkslab, esta auditoría llevó a un desarrollador del núcleo de PHP a detectar, al corregir uno de los problemas señalados, los primeros indicios de un defecto relacionado con errores de agotamiento de memoria (out-of-memory). Se teorizó una explotación, sin vector concreto.
La corrección luego se topó con decisiones difíciles. Cada enfoque considerado rompía la compatibilidad, abría un riesgo de denegación de servicio o imponía modificaciones a muchas extensiones de terceros, imposibles de coordinar. El equipo de seguridad, que decide por consenso, vio que el proyecto «se estancaba y reiniciaba varias veces durante meses». La fundación escribe que «el retraso fue un fracaso estructural», debido a este modo de decisión y a la falta de recursos.
Calif, OpenAI y Wiz: un verano de demostraciones
En el marco del programa Patch the Planet, la empresa Calif inicia una auditoría de PHP el 30 de julio de 2026. El 11 de agosto, su investigador Ryan A. señala una ejecución remota de código incondicional, con la misma causa raíz que el defecto de 2024. OpenAI, cuya fundación acredita al equipo Codex Security, reporta la misma causa ese mismo día. Wiz Research sigue el 24 de agosto con otros vectores de ataque. A partir del 11 de agosto, escribe la fundación, la corrección se convierte en la prioridad de todo su equipo de seguridad.
Wiz indica haber usado su herramienta Wiz Atlas, Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI. Su cronología sitúa el descubrimiento de la primera falla el 19 de agosto, la ejecución de código confirmada el 20 de agosto en Drupal y el 21 en WordPress, y el reporte a PHP el 24. Según la empresa, un solo investigador, con estos modelos, completó en una semana lo que a un equipo de primer nivel le habría tomado meses. La fundación además contabiliza 15 CVE publicadas desde el 1 de julio y más de 100 reportes descartados por inválidos, duplicados o no reproducibles.
La salida estaba prevista para el 22 de octubre. El 20 de octubre hacia las 15 h UTC, los dos identificadores CVE comenzaron a circular en foros y redes sociales, con una hora de salida errónea y una puntuación CVSS falsa de 10. Según la fundación, no se filtraron detalles técnicos. PHP adelantó su preanuncio y la salida al 21 de octubre. Chainguard publicó, el 21 de octubre a las 7 h 41 UTC, imágenes que integran el parche más de seis horas antes de la salida, lo que la fundación califica como una ruptura unilateral del embargo.
Aislar y luego migrar, la consigna del CERT-FR
El CERT-FR lista como afectadas todas las versiones 5.x, 6.x, 7.x, 8.0.x y 8.1.x, así como las ramas 8.2 a 8.5 anteriores a las versiones corregidas. Para las ramas que el editor ya no mantiene, recomienda aislar los equipos y luego migrar a una versión mantenida. Las soluciones provisionales, en configuración de PHP o en un firewall de aplicaciones, no son calificadas por el CERT-FR. Según Anssi, más de 600 000 servidores usan PHP en Internet francés. El Ministerio del Interior puso en mantenimiento preventivo sus sitios expuestos, según una declaración recogida por AFP. El 22 de octubre a las 8 h 33, hora de París, el sitio de la CNIL y impots.gouv.fr mostraban una página de mantenimiento, al igual que el de la prefectura de Seine-Saint-Denis. Ninguna de estas páginas menciona PHP.
Cloudflare dice haber observado tráfico de ataque dirigido a sus clientes, y atacantes modificando sus solicitudes para evadir sus reglas de filtrado. Según la fundación, no se había identificado ningún exploit funcional al momento de la publicación. A la fecha indicada, ninguna de las fuentes citadas reporta una intrusión exitosa.
Las versiones mantenidas recibieron su parche el día de la divulgación. El principal riesgo afecta a servidores aún en PHP 8.1 o anterior, que el proyecto ya no actualiza. Para PHP 7.4, 8.0 y 8.1, su equipo de seguridad proporcionó retroportaciones mínimas, destinadas a quienes compilan desde las fuentes. La PHP Foundation pide a empresas, proveedores de hosting y administraciones que dependen de PHP que la financien, pues la seguridad del motor depende aún, escribe, de «un pequeño grupo de desarrolladores financiados por la fundación y un poco de ayuda voluntaria».
