# Vulnerabilidad crítica en PHP (CVE-2026-109618): cómo proteger tu sitio hoy

> PHP corrige dos fallas críticas de ejecución remota de código sin autenticación (CVE-2026-109618 y CVE-2026-109619). Qué versiones actualizar y cómo proteger tu sitio hoy.

URL: https://codegea.com/vulnerabilidad-critica-en-php-cve-2026-109618-actualiza-ya
Servidores · 2026-10-22 · Derian Pinto

El 21 de octubre de 2026 el equipo de PHP publicó una actualización de seguridad de emergencia. Corrige **dos vulnerabilidades críticas que permiten ejecución remota de código (RCE) sin autenticación**: un atacante no necesita usuario ni contraseña, solo poder enviar peticiones a tu servidor. Si tu sitio corre PHP (WordPress, WooCommerce, Laravel, un sistema a medida), esto te afecta.

> Según el propio anuncio de PHP, «no hay mitigaciones completas: actualizar es la única opción segura».

## Qué se corrigió

Las dos fallas tienen una puntuación de **CVSS v4.0 9.2** y afectan al manejo interno de memoria de cada petición:

| CVE | Qué ocurre | Referencia |
| --- | --- | --- |
| CVE-2026-109618 | Si el manejo de memoria agotada (OOM) interrumpe a PHP mientras los datos internos de la petición están a medio inicializar, la limpieza posterior puede tratar datos inválidos como válidos. | [GHSA-w8hw-w9fx-j79w](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) |
| CVE-2026-109619 | Estado interno de una petición que sobrevive después de liberar su memoria; una petición posterior atendida por el mismo proceso puede usarlo antes de que se reinicie. | [GHSA-6wmf-4rv5-p3rp](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) |

## Versiones corregidas

Actualiza a la versión parcheada de tu rama:

- **PHP 8.5** → 8.5.12
- **PHP 8.4** → 8.4.27
- **PHP 8.3** → 8.3.36
- **PHP 8.2** → 8.2.35 (esta rama llega a fin de vida el 31 de diciembre de 2026)

PHP 8.1 y anteriores **ya no reciben actualizaciones oficiales**. El proyecto publicó ramas con el parche para [PHP 7.4](https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619), [PHP 8.0](https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619) y [PHP 8.1](https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619), pero no son versiones oficiales: la salida real es migrar a una rama con soporte.

## Quién está en riesgo

El anuncio indica que están afectadas **todas las instalaciones que atienden peticiones web**: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es **mayor con mod_php**.

En la práctica, esto incluye:

- Sitios WordPress y tiendas WooCommerce en hosting compartido o VPS.
- Aplicaciones Laravel, Symfony o a medida.
- Servidores que nadie actualiza desde que se montaron.

## Cómo comprobar tu versión

1. En un servidor con acceso por terminal: `php -v` (y revisa también la versión que usa PHP-FPM o Apache, que puede ser distinta a la de la línea de comandos).
2. En WordPress: **Herramientas → Salud del sitio → Información → Servidor**.
3. En un hosting con panel: busca «Versión de PHP» o «Selector de PHP» en el panel de control.

Si estás por debajo de 8.5.12, 8.4.27, 8.3.36 o 8.2.35, estás expuesto.

## Cómo actualizar

1. **Respalda** archivos y base de datos antes de tocar nada.
2. **Hosting compartido:** cambia la versión de PHP desde el panel y confirma con tu proveedor que ya instaló los paquetes parcheados; si aún no, exige fecha.
3. **VPS o servidor propio:** actualiza el paquete con el gestor del sistema (`apt`, `dnf`) o tu repositorio de PHP y **reinicia PHP-FPM o Apache**. Sin reinicio, el proceso viejo sigue en memoria.
4. **Contenedores:** reconstruye la imagen con la etiqueta corregida (por ejemplo `php:8.4.27`) y vuelve a desplegar.
5. **Prueba:** revisa formularios, pagos y el checkout. Una actualización de parche de la misma rama rara vez rompe algo, pero conviene comprobarlo.

Si usas una versión sin soporte (8.1 o anterior), planifica la migración cuanto antes. Mientras tanto, una capa de firewall como [Cloudflare](/servicios/servidores-y-hosting) reduce el ruido de ataques automáticos, pero **no reemplaza la actualización**.

## Preguntas frecuentes

**¿Ya hay ataques?** El anuncio de PHP no menciona explotación activa. Aun así, con un parche público los atacantes comparan los cambios y buscan servidores sin actualizar: el tiempo para actuar es corto.

**¿Mi hosting lo hace por mí?** Depende. Los hostings administrados suelen aplicar el parche solos; en un VPS o un hosting sin soporte técnico, la responsabilidad es tuya.

**¿Basta con un plugin de seguridad de WordPress?** No. La falla está en PHP, no en WordPress, y un plugin corre sobre el mismo PHP vulnerable.

## Referencias

- [Security advisory: Critical remote code execution vulnerabilities, update now](https://www.php.net/archive/2026.php#2026-10-21-5) (php.net)
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php#2026-10-20-1) (pre-aviso del 20 de octubre)
- [GHSA-w8hw-w9fx-j79w](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) y [GHSA-6wmf-4rv5-p3rp](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp)
- [Descargas de PHP (código fuente)](https://www.php.net/downloads.php?source=Y) · [Windows](https://www.php.net/downloads.php?os=windows)

---

¿No sabes qué versión de PHP usa tu sitio o no tienes quien lo actualice? En Codegea revisamos tu servidor, aplicamos el parche y dejamos [monitoreo y mantenimiento continuo](/retainer) para que la próxima alerta no te tome por sorpresa.