El proyecto PHP publicó este martes parches de emergencia para dos vulnerabilidades críticas que permiten a un atacante no autenticado ejecutar código en el servidor, en versiones que van desde PHP 8.2 hasta la rama 8.5.

Los fallos quedaron registrados como CVE-2026-109618 y CVE-2026-109619. El primero, bautizado PHP2Shell por los investigadores, aprovecha una corrupción de memoria cuando una petición alcanza el límite de memoria en el momento exacto: PHP deja datos internos a medio inicializar y luego los trata como válidos.

El segundo es un fallo de estado obsoleto: un error fatal en el punto equivocado deja punteros a memoria de una petición anterior, y el siguiente request atendido por el mismo proceso reutiliza esa memoria liberada. Los investigadores confirmaron ejecución remota contra una aplicación real sobre Apache con mod_php.

La gravedad no está solo en el error, sino en su ubicación: ambos viven en la gestión de memoria y el manejo de errores, rutas que toca casi cualquier petición. Eso explica la advertencia de la Fundación PHP: si corres PHP, hay que actualizar de inmediato.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. No hay parche para ramas anteriores a 8.2, de modo que las instalaciones heredadas quedan dependientes de mitigaciones de terceros, algo que la propia fundación señaló como un problema estructural del ecosistema.

El hallazgo se atribuye a GPT-5.6 Sol, el modelo de OpenAI usado en su programa de descubrimiento de vulnerabilidades. OpenAI calificó estos fallos como «uno de varios hallazgos significativos» y anticipó que aparecerán más casos similares en código abierto crítico.

Cloudflare desplegó mitigaciones en su WAF para todos los clientes, gratuitos y de pago, unas nueve horas antes del anuncio público, de forma predeterminada y sin acción del usuario. La compañía advirtió igualmente que el parche es la única solución definitiva.

El impacto ya se sintió en Europa: sitios de gobiernos, escuelas y hospitales quedaron fuera de línea mientras las organizaciones corrían a protegerse. Reportes de seguridad estiman que la superficie expuesta alcanza hasta el 70 % de los sitios web del mundo, una cifra que refleja la dependencia de PHP en la web pública.

La Fundación PHP explicó que tuvo que adelantar el lanzamiento un día porque los identificadores CVE empezaron a circular antes de lo previsto, y aprovechó el episodio para pedir financiamiento sostenido a las empresas que dependen del lenguaje.

Fuentes
PHP.net
Cloudflare
The PHP Foundation

Crédito de la imagen: Fotografía de Ilya Pavlov en Unsplash.