PHP corrige dos fallas críticas de ejecución remota
El proyecto PHP publicó cuatro actualizaciones de seguridad que corrigen dos vulnerabilidades críticas de ejecución remota de código (RCE, por sus siglas en inglés). Las versiones con el parche son 8.5.12, 8.4.27, 8.3.36 y 8.2.35, todas etiquetadas como “security” y disponibles desde el 21 de octubre. La noticia importa directamente a México y América Latina porque PHP sigue siendo el lenguaje del lado del servidor más usado para sostener sitios web y aplicaciones: desde portales de gobierno y tiendas en línea hasta los sistemas de miles de agencias y freelancers de la región.
Qué se corrigió y por qué es urgente
Las dos fallas quedaron registradas como CVE-2026-109618 y CVE-2026-109619. La base de datos OSV confirma que las cuatro versiones mencionadas son las que incluyen la corrección. El detalle técnico es relevante: una vulnerabilidad de ejecución remota de código permite que un atacante ejecute instrucciones en el servidor afectado sin necesidad de credenciales, lo que puede derivar en robo de datos, instalación de software malicioso o toma de control del sitio.
Un punto que conviene subrayar: PHP 8.1 y las ramas anteriores no recibieron una versión oficial con el parche. Quien todavía opera esas versiones queda expuesto y debe planear la migración a una rama con soporte.
Qué dicen las fuentes sobre la explotación
Los reportes sobre actividad maliciosa van cambiando rápido y no siempre coinciden entre sí. Esto es lo que han señalado las fuentes disponibles:
- Rapid7 advirtió que se espera que un exploit viable se haga público pronto, que la explotación en entornos reales es probable y recomendó actualizar con carácter de emergencia.
- Tenable reportó que Amazon Threat Intelligence observó un intento de explotación el 17 de octubre y más intentos el 21 de octubre. Amazon aclaró que no está claro si esos intentos habrían tenido éxito contra sistemas reales.
Dado que la información evoluciona, la recomendación práctica es revisar php.net y los avisos del proveedor de hosting para conocer el estado actual.
Cómo revisar tus propios servidores
Si administras sitios web, lo primero es identificar qué versión de PHP está corriendo tu instalación. Una vez que la tengas, verifica si es igual o superior a la versión corregida de su rama:
- PHP 8.5 debe estar en 8.5.12 o superior.
- PHP 8.4 debe estar en 8.4.27 o superior.
- PHP 8.3 debe estar en 8.3.36 o superior.
- PHP 8.2 debe estar en 8.2.35 o superior.
- PHP 8.1 y anteriores no cuentan con parche oficial: hay que migrar.
El autor de la nota original comparte una página gratuita donde se escribe una versión y se indica si está en el nivel corregido y cuándo termina el ciclo de vida de su rama. Es importante aclarar que esa herramienta solo compara el número que se escribe: no se conecta a nada, no escanea ni protege servidores. También ofrece un kit de hoja de cálculo y correo por 19 dólares para agencias con muchos sitios; ambas herramientas son de su autoría y se presentan con esa divulgación.
Contexto: por qué PHP sigue siendo blanco frecuente
PHP sostiene una parte enorme de la web, desde sistemas de gestión de contenido hasta plataformas de comercio electrónico. Esa popularidad lo vuelve un objetivo atractivo: una sola falla puede afectar a millones de instalaciones. Para el ecosistema tecnológico latinoamericano, donde muchas pequeñas empresas y desarrolladores independientes dependen de hospedajes compartidos, la actualización oportuna es una medida de higiene digital básica.
La lección de este episodio es sencilla: mantener el software al día y conocer el ciclo de vida de cada rama reduce la superficie de ataque. La información de esta nota corresponde al 22 de octubre de 2026 y no constituye asesoría legal ni de seguridad.
