PHP advierte sobre graves fallas de seguridad en su sistema

PHP ha publicado una actualización de seguridad para abordar un problema crítico que podría permitir a atacantes ejecutar comandos en cualquier servidor web que utilice PHP.

PHP (PHP Hypertext Preprocessor) es un lenguaje de scripting del lado del servidor, ampliamente utilizado y diseñado para el desarrollo web. Se ejecuta en un servidor web para generar contenido dinámico en las páginas, interactuar con bases de datos y gestionar la lógica de la aplicación en el backend, antes de entregar el resultado HTML final al navegador del usuario. PHP también se emplea en diversos productos adicionales.

El problema de seguridad podría permitir a un atacante provocar una condición de «falta de memoria» (out-of-memory o OOM) en PHP, lo que deriva en una corrupción de la memoria. Bajo determinadas circunstancias, esta corrupción podría aprovecharse para lograr la ejecución remota de código sin necesidad de autenticación, explicó el Centro Nacional de Ciberseguridad del Reino Unido.

El boletín de seguridad completo de PHP ofrece más detalles sobre el problema de seguridad corregido.

¿Quiénes se ven afectados?
Las organizaciones que utilizan cualquier versión de PHP se ven afectadas; por ello, se recomienda encarecidamente actualizar a la versión más reciente que incluye la corrección. Asimismo, se insta a las organizaciones que emplean versiones antiguas de PHP a actualizar a una versión que cuente con soporte completo.

¿Qué se puede hacer?
El NCSC recomienda seguir las mejores prácticas sugeridas por el proveedor para la mitigación de vulnerabilidades. El NCSC aconseja encarecidamente a las organizaciones que lleven a cabo las siguientes acciones prioritarias:

• Identifiquen los sistemas que utilizan PHP en toda su infraestructura, dando prioridad a aquellos expuestos a Internet. Dado que todas las versiones podrían verse afectadas, no limiten la búsqueda únicamente a versiones obsoletas de PHP; identifiquen todas las instalaciones de PHP y evalúen su grado de exposición a las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. Supervise de forma continua la disponibilidad de actualizaciones de seguridad por parte de proveedores de software externos, incluidos aquellos que ofrecen dispositivos o servicios que pueden incluir PHP como componente. Aplique las actualizaciones pertinentes a medida que estén disponibles.
• Actualice a la versión más reciente de PHP y siga prestando atención a futuras actualizaciones.
• Aplique las medidas de refuerzo de la seguridad adicionales proporcionadas por el equipo de PHP.
• Si no le es posible actualizar a una versión que incluya la corrección de seguridad, el equipo de PHP ofrece medidas de mitigación temporales.