PHP alerta de dos vulnerabilidades críticas y prepara parches de emergencia para mañana

El equipo de seguridad de PHP ha pedido a los administradores de sistemas que se preparen para instalar mañana actualizaciones de seguridad de emergencia destinadas a corregir dos vulnerabilidades críticas. Al parecer, los detalles de estos fallos se han filtrado antes de la fecha de divulgación prevista. PHP es una tecnología muy extendida en sitios y aplicaciones web, incluidos gestores de contenido, plataformas de comercio electrónico y servicios web personalizados.

Anuncio oficial y puntuación CVSS

En un aviso publicado el martes, el equipo de desarrollo de PHP indicó que tiene previsto publicar las actualizaciones de seguridad el miércoles 21 de octubre a las 14:00 UTC (10:00 hora del Este) para corregir dos vulnerabilidades, cada una con una puntuación de 9,2 según CVSS v4.0. El equipo también envió una notificación a su lista de correo ANNOUNCE en la que solicitaba a los administradores que instalaran los parches en cuanto estuvieran disponibles.

Nos reservamos el derecho de publicar antes si los detalles de cualquiera de las vulnerabilidades se hacen públicos o si aparecen indicios de explotación activa en el entorno real.

Los desarrolladores no han revelado detalles técnicos sobre las vulnerabilidades, como las versiones de PHP afectadas, la forma de explotación o las versiones que incluirán las correcciones.

Filtración y análisis de watchTowr

Sin embargo, los investigadores de seguridad de watchTowr declararon a BleepingComputer que las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, son fallos de ejecución remota de código (RCE) que, según se cree, afectan a las versiones 5, 6, 7 y 8 de PHP.

En la última hora se han filtrado dos vulnerabilidades de ejecución remota de código en PHP. Estas vulnerabilidades estaban previamente bajo embargo y debían publicarse el jueves a las 11:00 hora del Este. Aunque no podemos compartir información técnica en este momento por razones obvias dada la sensibilidad, podemos confirmar que estas vulnerabilidades son reales. Ambas tienen una puntuación CVSS de 10 y se entiende que afectan a las versiones 5, 6, 7 y 8 de PHP.

WatchTowr también afirmó creer que ha logrado reproducir con éxito CVE-2026-109618, aunque no divulgará información técnica hasta que los parches estén disponibles. Los investigadores aclararon que no han observado explotación de las vulnerabilidades en el entorno real, pese a la filtración de información antes de la divulgación prevista.

En una publicación en X, watchTowr advirtió de que la información sobre las vulnerabilidades se había filtrado antes de la fecha de divulgación originalmente prevista.

Se suponía que todos debíamos esperar hasta el jueves a las 11:00 hora del Este. Se ha filtrado información sobre vulnerabilidades RCE de día cero bajo embargo en PHP. Podemos confirmar que son reales.

Origen de la filtración

La advertencia se produce después de una publicación ya eliminada en el foro Hacker News de Y Combinator, en la que un usuario llamado "petecooper" afirmaba que dos vulnerabilidades críticas de ejecución remota de código en PHP se divulgarían el 22 de octubre. Según la publicación, vista por BleepingComputer, ambas vulnerabilidades tenían puntuaciones CVSS de 10,0 y afectaban a versiones de PHP que se remontan a PHP 5. También identificaba las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619, coincidiendo con los identificadores que watchTowr compartió posteriormente.

No obstante, las declaraciones de watchTowr y la publicación de Hacker News difieren del anuncio oficial de PHP. Ambos describían las vulnerabilidades como CVSS 10.0, mientras que el equipo de seguridad de PHP les asignó una puntuación CVSS v4.0 de 9,2. Además, watchTowr citó una divulgación originalmente prevista para el jueves, mientras que PHP ha programado oficialmente su publicación de seguridad para mañana por la mañana.

El equipo de seguridad de PHP afirma que publicará todos los detalles técnicos, las versiones afectadas y las versiones corregidas cuando las actualizaciones de seguridad estén disponibles.