CVE-2026-109618 y CVE-2026-109619 permiten ejecución remota de código sin autenticación. CISA las añadió a su catálogo KEV el 26 de octubre y pide actualizar PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
El Resumen (Sin rodeos)
CISA confirmó explotación activa de CVE-2026-109618 y CVE-2026-109619 en PHP: permiten ejecución remota de código sin autenticación. Las añadió a su catálogo KEV el 26 de octubre y pide actualizar PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 según la rama.
Lo primero que se me viene a la mente
PHP corre en buena parte de la web heredada, y una ejecución remota sin autenticación es la combinación que los atacantes buscan para montar servidor de una. El catálogo KEV con fecha del 26 de octubre es el reloj oficial: CISA ya vio explotación real, no laboratorio. La lista de versiones es corta y directa — si corres una de esas cuatro, actualiza hoy. Este es el mismo caso PHP2Shell que venimos siguiendo: la alerta de Singapur, el aviso de CISA y ahora la confirmación de explotación activa.
¿Quién es quién en la noticia?
- CISA — La agencia que confirmó la explotación y agregó las CVE al catálogo KEV.
- CVE-2026-109618 y CVE-2026-109619 — Las fallas de PHP con ejecución remota sin autenticación.
- PHP — El lenguaje afectado; su actualización cierra la puerta.
- Versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 — Los parches por rama.
- Catálogo KEV — La lista de vulnerabilidades explotadas en la vida real.
Compartir