Comprobar y mitigar la vulnerabilidad de PHP: CVE-2026-109618 y CVE-2026-109619

A fecha de 21 de octubre de 2026 PHP ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades críticas en el núcleo del intérprete, identificadas como CVE-2026-109618 y CVE-2026-109619. Si se explotan, podrían permitir que un atacante remoto y sin autenticación ejecute código en un servidor que utilice una versión afectada. 

En esta guía explicamos el impacto de estos fallos y cómo actualizar PHP para proteger los sistemas.

Qué hace cada vulnerabilidad

• CVE-2026-109618: corrupción de memoria al agotarse la memoria (OOM). En ciertas circunstancias, PHP puede quedarse sin memoria mientras todavía está inicializando los datos de una petición. Después, al limpiar esa petición, puede tratar como válidos datos internos que quedaron incompletos. Algunas peticiones multipart/form-data, como las que se usan para subir archivos, pueden provocar esa situación. PHP señala que el riesgo es mayor con Apache mod_php, donde se ha demostrado una explotación antes de que se ejecute el código de la aplicación; el análisis también considera susceptible a PHP-FPM, aunque el aviso matiza que no se había demostrado una explotación completa por esa vía.
• CVE-2026-109619: uso de estado interno obsoleto. Parte del estado de una petición puede quedar referenciado después de liberar la memoria que lo contenía. Si el mismo proceso trabajador atiende otra petición antes de reiniciar correctamente ese estado, PHP podría usar esos datos antiguos y permitir la ejecución de código. Una ruta confirmada está relacionada con el progreso de subidas de sesión; en PHP 8.5 también se describe una ruta con las trazas de errores fatales. Desactivar el progreso de subidas reduce esas rutas concretas, pero no cubre todas las posibles.

Versiones y corrección

Estas vulnerabilidades afectan a todas las versiones de PHP, desde la 5.x en adelante. Si utilizas PHP en cualquier parte de tu infraestructura de Clouding, considera que podrías estar expuesto hasta que apliques los parches correspondientes.

Imágenes de Clouding afectadas

Qué acciones tomar

1. Crea un snapshot antes de realizar cambios

   Antes de realizar cambios en el servidor o modificar su contenido, te recomendamos crear un snapshot. Así podrás restaurar el estado anterior si algo sale mal durante el proceso.

2. Identifica todas las instalaciones de PHP

   Haz inventario de todas las instalaciones de PHP que atienden tráfico web: servidores, paneles de hosting, contenedores y entornos gestionados. Comprobar también las distintas versiones y modos de ejecución instalados.

3. Actualiza PHP a una versión segura

   Actualizar cuanto antes al paquete corregido de la rama correspondiente, obtenido de PHP, de la distribución de GNU/Linux o del proveedor que gestione el servidor.

4. Reinicia los servicios para aplicar los cambios

   Reiniciar PHP-FPM y los procesos web que correspondan para que dejen de usar los procesos antiguos. En Docker, reconstruir y desplegar las imágenes que incluyen PHP.

5. Protege los sistemas que no puedas actualizar

   Si se usa una rama antigua, consultar al proveedor por un paquete con el parche retroportado o planificar la migración a una rama mantenida. Si el sistema expuesto a Internet no se puede actualizar ni aislar, INCIBE recomienda aislarlo de las redes públicas hasta poder aplicar una versión corregida.

6. Activa los backups de tu servidor

   Si aún no tienes activados los backups de Clouding, es recomendable tener copias del servidor completo, sobre todo para aquellos casos donde por el momento no es posible actualizar la versión de PHP. Recuerda que esta medida es complementaria y no sustituye a las actualizaciones de seguridad.

Medidas temporales si no se puede actualizar

PHP e INCIBE describen medidas que reducen ciertas vías de ataque, pero no sustituyen el parche:

• Para CVE-2026-109618, PHP propone establecer memory_limit=-1 administrativamente y reiniciar los trabajadores. Esto elimina el límite por petición que puede facilitar una condición de agotamiento controlada, pero no evita fallos de asignación de memoria por otras causas y puede aumentar el consumo del servidor. PHP también recomienda limitar post_max_size —8 MB si no se necesitan subidas y 32 MB si se necesitan—, mantener upload_max_filesize por debajo de ese valor y aplicar límites de tamaño y complejidad en el servidor web o proxy. No se deben usar RLIMIT_AS ni RLIMIT_DATA como sustitutos, porque pueden provocar el fallo de asignación que activa la ruta vulnerable.
• Para CVE-2026-109619, se puede desactivar session.upload_progress.enabled desde la configuración administrativa y reiniciar todos los trabajadores. En PHP 8.5, PHP también indica fatal_error_backtraces=0 como protección frente a una ruta confirmada. Estas medidas no cubren todas las rutas descritas en el aviso.

Como medida temporal, puedes configurar Cloudflare para los dominios que alojan sitios web con PHP.

Si todavía no lo utilizas, puedes empezar con su plan gratuito, que añade una primera capa de protección. En la sección WAF, activa las reglas administradas (Managed Rules) y, si tu plan lo permite, el conjunto de reglas OWASP Core Ruleset.

También es importante configurar el cortafuegos del servidor para que solo acepte conexiones web —por ejemplo, en los puertos 80 y 443— desde las direcciones IP de Cloudflare. De lo contrario, un atacante podría conectarse directamente al servidor y saltarse las protecciones de Cloudflare.

Acciones para los servidores cloud

Lo primero de todo, es comprobar la versión de PHP que tiene tu servidor Cloud:

php -v

Si está afectada por la vulnerabilidad, es necesario actualizar paquetes dependiendo al distribución de GNU/Linux de tu servidor cloud.

Debian y Ubuntu

apt update
apt install --only-upgrade 'php*'

AlmaLinux y Rocky Linux

dnf upgrade 'php*'

Tras actualizar paquetes, es necesario reiniciar PHP-FPM para aplicar la nueva versión de PHP. Si tus repositorios aún no ofrecen una versión corregida, consulta la tabla de arriba para los diferentes enlaces para cada distribución.

Contenedores docker

Algunos contenedores de Docker utilizan PHP para desplegar las difernetes aplicaciones. Para ello es necesario que revises que para tu aplicaicón tenga una actualizadión disponible, de ser así:

docker compose pull
docker compose up -d

¿Necesitas ayuda?

Si tienes dudas sobre cómo mitigar estas vulnerabilidades, nuestro equipo de Soporte está disponible para orientarte. Si necesitas ayuda especializada para aplicar las medidas en tu servidor, puedes contar con nuestros Cloud Pros mediante el servicio de soporte avanzado.

Contactar con Soporte · Más información sobre Cloud Pros

Referencias:

• https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php
• https://www.php.net/archive/2026.php#2026-10-21-5
• https://forums.rockylinux.org/t/critical-php-vulnerabilities/20856/7
• https://forum.netgate.com/topic/201559/php-critical-security-vulnerabilities-cve-2026-109618-und-cve-2026-109619?_=1792662334113
• https://almalinux.org/blog/2026-10-21-php2shell-cve-2026-109618-cve-2026-109619/
• https://www.cve.org/CVERecord?id=CVE-2026-109618
• https://www.cve.org/CVERecord?id=CVE-2026-109619
• https://cert.europa.eu/publications/security-advisories/2026-018
• https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk#Accordion-in-cli-linux--2
• https://cyberpanel.net/blog/php-security-october-2026-cyberpanel-response#heading-10
• https://codeberg.org/oerdnj/deb.sury.org/issues/145
• https://launchpad.net/~ondrej/+archive/ubuntu/php