El Instituto Nacional de Ciberseguridad (INCIBE) ha emitido una alerta de importancia crítica por dos vulnerabilidades en el núcleo de PHP que permiten a un atacante remoto no autenticado ejecutar código con los privilegios del proceso web. Ambas tienen una puntuación CVSS v4.0 de 9,2 y ya se han registrado ataques contra servidores PHP antes de la publicación de las actualizaciones.

Según puido saber este medio, las versiones afectadas son PHP 8.2.x anterior a 8.2.35, PHP 8.3.x anterior a 8.3.36, PHP 8.4.x anterior a 8.4.27 y PHP 8.5.x anterior a 8.5.12. PHP considera en riesgo las instalaciones que procesan solicitudes web, incluidas las que utilizan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor en Apache mod_php. Las ramas 8.1 y anteriores ya no reciben actualizaciones regulares, aunque PHP ha publicado parches de código fuente para 7.4, 8.0 y 8.1.

Dos fallos de ejecución remota de código

El primero de los fallos, CVE-2026-109618, permite la ejecución remota de código por corrupción durante un agotamiento de memoria (OOM). Un vector destacado son las solicitudes multipart por POST: un número elevado de cabeceras en las partes, controles de archivo vacíos o nombres de campos anidados pueden elevar el uso de memoria aunque la solicitud parezca respetar los límites configurados. PHP ha validado la ejecución remota de código sin autenticación contra Apache mod_php, antes de que se ejecute código de la aplicación.

El segundo, CVE-2026-109619, permite la ejecución remota de código por uso de estado global obsoleto. Parte del estado interno asociado a una solicitud puede permanecer en un proceso trabajador después de liberarse la memoria, y si una solicitud posterior llega al mismo trabajador y utiliza ese estado antes de que PHP lo reinicialice, puede producirse un uso después de liberar memoria y una posible ejecución remota de código. El equipo de PHP describe rutas confirmadas en Apache mod_php y PHP-FPM.

Solución: actualizar de inmediato

INCIBE recomienda actualizar PHP de inmediato a la versión corregida correspondiente a su rama: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Para PHP 8.1, 8.0 y 7.4, PHP ofrece parches de código fuente retroportados. Si el proveedor no ofrece una versión corregida, se recomienda contactar con él o migrar a una rama mantenida. PHP advierte de que el repositorio voluntario rpms.remirepo.net no dispondrá de actualizaciones y recomienda utilizar los paquetes de la distribución o compilar PHP desde el código fuente.

Si no es posible actualizar inmediatamente, INCIBE propone medidas temporales como aplicar memory_limit=-1 de forma administrativa para CVE-2026-109618, mantener post_max_size en un valor bajo (8 MB si no se permiten subidas, 32 MB si son necesarias), desactivar session.upload_progress.enabled y, en PHP 8.5, fatal_error_backtraces para CVE-2026-109619. No obstante, advierte de que estas medidas "reducen la exposición a rutas concretas, pero la actualización es la única solución completa". Si no se puede actualizar un sistema expuesto a Internet, debe aislarse de las redes públicas hasta aplicar una versión corregida.