CVE-2026-109618 y CVE-2026-109619, ambas con severidad crítica (CVSS 9.2). Los parches salieron el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CERT-EU advierte que ya circulan pruebas de concepto, y según TechCrunch la NSA recomendó actualizar de inmediato o sacar los sistemas de línea hasta hacerlo.
El Resumen (Sin rodeos)
PHP tuvo dos vulnerabilidades críticas con ejecución remota de código: CVE-2026-109618 y CVE-2026-109619, ambas con severidad CVSS 9.2. Los parches salieron el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CERT-EU advierte que ya circulan pruebas de concepto, y según TechCrunch la NSA recomendó actualizar de inmediato o sacar los sistemas de línea hasta hacerlo. Aviso oficial: cert.europa.eu.
Lo primero que se me viene a la mente
Cuando la NSA dice «actualiza ya o apaga», no es sugerencia: es la señal de que el exploit está listo para usar. Pruebas de concepto circulando + ejecución remota + PHP = la combinación que convierte cualquier web desactualizada en objetivo de fin de semana. Los cuatro parches están disponibles desde el 21 de octubre; la ventana entre el aviso y la explotación masiva es cuestión de días. Este es el capítulo previo del caso PHP2Shell que después confirmó CISA.
¿Quién es quién en la noticia?
- PHP — El lenguaje afectado; dos fallas críticas de ejecución remota.
- CVE-2026-109618 y CVE-2026-109619 — Los identificadores; CVSS 9.2 ambas.
- CERT-EU — El equipo europeo que advierte sobre pruebas de concepto circulando.
- NSA — La agencia estadounidense que recomendó actualizar o sacar sistemas de línea.
- Parches del 21 de octubre — PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Compartir