PHP ha publicado este 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas que pueden permitir ejecutar código remotamente sin autenticación. Afectan a instalaciones que atienden peticiones web, y la solución completa exige instalar una versión corregida o el paquete actualizado del distribuidor y reiniciar los procesos que utilizan PHP.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, reciben de Ubuntu una puntuación de gravedad CVSS 4.0 de 9,2 sobre 10. Un atacante con acceso de red a la aplicación podría ejecutar código con los permisos de esta, sin necesidad de iniciar sesión.
El alcance incluye PHP-FPM, mod_php en Apache, php-cgi, FrankenPHP y LiteSpeed. PHP considera especialmente alto el riesgo en mod_php: se ha demostrado un ataque que se activa con una petición antes de que llegue a ejecutarse el código de la aplicación.
Qué versiones instalar y cómo actualizar en Ubuntu
Las nuevas versiones del proyecto corrigen ambos fallos en estas cuatro ramas:
| Rama de PHP | Versión corregida |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
Los paquetes de las distribuciones pueden incorporar correcciones adaptadas a sus propias versiones. Ubuntu ya ha publicado paquetes corregidos: en Ubuntu 22.04, 24.04, 26.04 y 26.10 se distribuyen mediante soporte estándar; en Ubuntu 20.04 y anteriores, mediante Ubuntu Pro y su servicio de mantenimiento ampliado ESM.
Ubuntu indica que se puede comprobar la versión instalada con este comando:
apt list '?installed ?name(^php[0-9.]+$)'Para actualizar los paquetes:
sudo apt update && sudo apt upgradeDespués hay que reiniciar la aplicación que usa PHP, sus procesos de trabajo o el sistema para que carguen los componentes nuevos. Instalar los paquetes no sustituye ese paso.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones ordinarias del proyecto. Algunos distribuidores y proveedores de mantenimiento prolongado ofrecen correcciones adaptadas; además, el equipo de seguridad de PHP ha facilitado parches mínimos de código fuente para las ramas 7.4, 8.0 y 8.1.
Cómo funcionan los fallos y qué limitan las medidas temporales
CVE-2026-109618 afecta al tratamiento de los errores por falta de memoria. Puede interrumpir la preparación de datos internos de una petición y provocar que, durante la limpieza posterior, PHP trate datos inválidos como si fueran válidos. CVE-2026-109619 permite que un estado interno sobreviva después de liberarse la memoria que lo sustentaba; otra petición atendida por el mismo proceso puede utilizarlo antes de que se inicialice de nuevo.
PHP advierte de que las mitigaciones temporales no hacen segura una instalación sin actualizar. Para el primer fallo propone eliminar el límite de memoria de PHP y restringir el tamaño y la complejidad de las peticiones. Aun así, un fallo de asignación de memoria subyacente podría alcanzar la ruta vulnerable.
Para el segundo, desactivar session.upload_progress.enabled y reiniciar todos los procesos bloquea las rutas de ataque confirmadas, pero no otras variantes. En PHP 8.5, desactivar fatal_error_backtraces bloquea únicamente la ruta confirmada vinculada a esa función.
