Dos vulnerabilidades críticas de PHP: CERT-EU pide preparar parches
PHP anunció dos vulnerabilidades críticas, ambas con CVSS 9,2, y programó inicialmente la actualización para el 21 de octubre a las 14:00 UTC. CERT-EU recomienda evaluar el aislamiento de aplicaciones expuestas a internet si no es posible actualizarlas de inmediato.
Nota elaborada con asistencia de inteligencia artificial y revisada según la política editorial de RX Noticias.
El equipo de seguridad de PHP anunció el 20 de octubre una actualización para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS v4.0 de 9,2. Al día siguiente, CERT-EU recomendó preparar el parcheo y considerar el aislamiento de las aplicaciones expuestas a internet si no es posible actualizarlas de inmediato.
El anuncio de PHP programó inicialmente la publicación de la actualización para el 21 de octubre a las 14:00 UTC, equivalente a las 11:00 de Chile continental, y pidió a sus usuarios prepararse para actualizar apenas el lanzamiento estuviera disponible. El documento oficial no detalló las versiones vulnerables ni las versiones corregidas.
CERT-EU pide preparar el parcheo y evaluar el aislamiento
En su Security Advisory 2026-018, publicado el 21 de octubre, CERT-EU recomendó identificar las aplicaciones basadas en PHP y preparar el parcheo inmediato de los activos afectados. Para los sistemas que no puedan remediarse de inmediato, el organismo aconsejó considerar el aislamiento de las aplicaciones expuestas a internet de las redes públicas hasta poder aplicar una solución.
El organismo indicó que el riesgo potencial incluía ejecución remota de código sin autenticación y que las puntuaciones CVSS v4.0 de 9,2 apuntaban a esa posibilidad. Al mismo tiempo, aclaró que al momento de su aviso no había detalles técnicos públicos sobre los dos CVE.
La actualización aún no identifica el alcance por versión
El anuncio de PHP no informó qué versiones eran vulnerables ni cuáles quedarían corregidas. Esa información es necesaria para que los administradores determinen la exposición concreta de cada aplicación, cuya situación depende de la versión, la configuración y los componentes instalados.
La instrucción operativa disponible es identificar dónde se ejecuta PHP, seguir la publicación oficial y aplicar el parche cuando esté disponible. Si una aplicación expuesta a internet no puede actualizarse de inmediato, CERT-EU recomienda considerar el aislamiento temporal hasta que pueda aplicarse una solución.