Frikipandi – Web de Tecnología – Lo más Friki de la red. Web de Tecnología con las noticias más frikis de Internet. Noticias de gadgets, Hardware, Software, móviles e Internet. Frikipandi 
El 20 de octubre de 2026, comenzaron a circular públicamente detalles sobre dos vulnerabilidades de ejecución remota de código en el núcleo de PHP, previamente embargadas, lo que provocó una respuesta acelerada del equipo de seguridad de PHP. La empresa de ciberseguridad watchTowr confirmó la veracidad de los problemas, identificados como CVE-2026-109618 y CVE-2026-109619 , tras la filtración de información previa a una divulgación coordinada prevista. Son vulneravilidades críticas de 0 Day de 10.0 de peligrosidad.
Una fuente confiable ha indicado que está programado un anuncio para el 22 de octubre de 2026 a las 18:00 CEST en relación con 2 RCE de PHP con una puntuación CVSS de 10.0. Se supone que el parche se debía publicar mañana, pero se ha filtrado la vulnerabilidad y está previsto para el miércoles 21 de octubre de 2026 a las 14:00 UTC su divulgación por parte de PHP.
PHP sigue siendo el motor de plataformas CMS muy utilizadas, como WordPress, Joomla y aplicaciones empresariales personalizadas. Esto lo convierte en un objetivo de gran valor. Lo más importante es que los atacantes a menudo no necesitan violar el perímetro de su red; una aplicación PHP de acceso público con un fallo explotable sirve como puerta abierta.
Una vulnerabilidad de PHP puede convertirse en una puerta de entrada a todo su entorno. Si no proteges y escaneas tu pila de PHP de forma proactiva, estás a una sola petición errónea de sufrir una brecha.
Origen de la fuga
La primera mención pública apareció en una publicación de Hacker News, ahora eliminada, titulada «Cuéntanoslo a HN» (elemento 50167754). El usuario petecooper citó una «fuente confiable» que afirmaba que el anuncio sobre dos vulnerabilidades RCE de PHP con una puntuación CVSS de 10.0 estaba programado para el 22 de octubre de 2026 a las 18:00 CEST. Las capturas de pantalla y los resúmenes de la publicación se difundieron rápidamente en X y Mastodon. Una publicación relacionada en X, realizada por @collysucker, amplificó la afirmación, señalando que, según se informa, las vulnerabilidades afectan a todas las versiones de PHP a partir de la versión 5 e identificando los identificadores CVE reservados.
Small update: we’ve now pushed network-level mitigation capabilities to watchTowr Platform clients (via Active Defense), ahead of PHP providing patches.
https://t.co/oo0GDB0C3g for more information.
— watchTowr (@watchtowrcyber) October 20, 2026
Más tarde ese mismo día, watchTowr (@watchtowrcyber) publicó un comunicado reconociendo la filtración:
Se suponía que todos debíamos esperar hasta el jueves a las 11 a. m. (hora del este). Se ha filtrado información sobre vulnerabilidades de ejecución remota de código (RCE) de día cero en PHP, que estaban bajo embargo. Podemos confirmar que son reales: CVE-2926-109618/619. No podemos compartir más información por el momento. Tómenselo en serio y apliquen los parches cuando estén disponibles.
La empresa aclaró los números CVE correctos y afirmó no haber descubierto las vulnerabilidades, atribuyendo el mérito a los investigadores originales. La publicación iba acompañada de un gráfico de «Reacción Rápida» que destacaba el CVE-2026-109618.
Respuesta oficial de PHP
En respuesta a la divulgación prematura, el equipo de seguridad de PHP publicó un aviso anticipado en php.net (entrada de archivo con fecha del 20 de octubre de 2026):
El equipo de seguridad de PHP desea anunciar con antelación el lanzamiento de una actualización de seguridad. Está programada para el miércoles 21 de octubre de 2026 a las 14:00 UTC. Esta actualización corrige dos vulnerabilidades críticas, ambas con una calificación CVSS v4.0 de 9.2. Se recomienda a todos los usuarios de PHP que se preparen desde ahora para poder actualizar sus sistemas tan pronto como la actualización esté disponible. Nos reservamos el derecho de lanzar la actualización antes de lo previsto si se hicieran públicos los detalles de alguna de las vulnerabilidades o si aparecieran indicios de explotación activa.
Esto adelanta el lanzamiento respecto a la fecha prevista inicialmente para el jueves. Los detalles técnicos completos, los rangos de versiones afectadas y las versiones corregidas se publicarán junto con el lanzamiento. Al momento de redactar este informe, ambas vulnerabilidades (CVE) permanecen en estado reservado y sin descripciones públicas.
Lo que se sabe (y lo que no se sabe)
| Artículo | Estado |
|---|---|
| Naturaleza | Vulnerabilidades de ejecución remota de código en el núcleo de PHP con lo que pueden hacerse con cualquier servidor. |
| Gravedad | El equipo de PHP les otorgó oficialmente una puntuación CVSS v4.0 de 9.2; sin embargo, los informes de la comunidad los describían como CVSS 10.0. Es decir muy crítico |
| Versiones afectadas | Los informes indican un impacto generalizado en las instalaciones de PHP, y se esperan parches solo para las ramas de PHP 8 compatibles. PHP 5 y PHP 7 llegaron al final de su ciclo de vida hace años y no recibirán correcciones oficiales. Deberemos actualizar. |
| Explotabilidad | No ha aparecido ninguna prueba de concepto pública, informe técnico ni evidencia de explotación en la práctica. Los investigadores y proveedores han respetado en gran medida el embargo restante sobre la información detallada. |
El experto en seguridad Nicolas Krassas (@Dinosn) ha indicado que publicará un laboratorio técnico una vez que se levante el embargo. Otras publicaciones en X han instado a las organizaciones a inventariar sus servidores PHP y preparar planes de actualización.
Recomendaciones
Las organizaciones que utilizan PHP deberían:
- Inventariar todas las instancias, anotando la versión principal (5.x, 7.x u 8.x) y el método de implementación (paquetes del sistema operativo, contenedores, compilaciones personalizadas, alojamiento compartido).
- Priorice la migración de cualquier sistema PHP 5 o PHP 7 restante a una rama compatible de PHP 8, ya que esas versiones anteriores no recibirán parches.
- Supervise php.net, los canales de seguridad de los proveedores y los avisos de las distribuciones de Linux para la versión del 21 de octubre y aplique las actualizaciones tan pronto como estén disponibles.
- Analizar la exposición de las aplicaciones PHP con acceso a Internet, en particular aquellas que utilizan configuraciones predeterminadas o con un nivel mínimo de seguridad.
- Poner medidas de mitigación de red con active Defense para peticiones maliciosas.
Dado que los detalles técnicos aún no se han publicado, no es posible ofrecer recomendaciones específicas de detección o mitigación más allá de la actualización. La decisión del equipo de PHP de adelantar el calendario de lanzamiento tras la filtración subraya el riesgo de que se divulgue más información antes de que los parches estén ampliamente disponibles.
Fuentes:
https://threatlandscape.io/blog/php-core-rce-cve-2026-109618-109619-leak-ahead-of-embargo
https://cert.europa.eu/publications/security-advisories/2026-018/
https://news.ycombinator.com/item?id=50167754
. Leer artículo completo en Frikipandi PHP en riesgo: «Se filtra vulnerabilidad crítica CVE-2026-109618 y CVE-2026-109619».
