PHP corrige fallos críticos de ejecución de código y advierte sobre una nueva vulnerabilidad sin parche

El equipo de desarrollo de PHP ha publicado actualizaciones de emergencia para solucionar dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) que permiten la ejecución de código de forma remota. Esto significa que un atacante podría tomar el control del servidor web sin necesidad de tener un usuario o contraseña. Estos fallos afectan directamente al motor que procesa el lenguaje y no a la programación de la página en sí, por lo que incluso sitios web bien construidos en WordPress o sistemas a medida están en riesgo si el servidor no se actualiza.

Apenas dos días después de estas correcciones, se identificó una tercera vulnerabilidad (CVE-2026-115560) que aún no tiene un parche o actualización definitiva. Aunque el riesgo se considera bajo porque requiere una configuración muy específica y poco común, los desarrolladores recomiendan como medida preventiva desactivar la función de seguimiento de carga de archivos (conocida como "session upload progress") en la configuración del servidor hasta que se publique la solución oficial en el próximo ciclo de mantenimiento.

Empresas de seguridad como Cloudflare y Amazon han reportado que los ataques reales contra las primeras dos fallas se han disparado, pasando de unos pocos miles a millones de intentos en menos de 24 horas. Los atacantes están buscando servidores vulnerables para instalar variantes de la botnet Mirai (una red de equipos infectados para ataques masivos). Las versiones seguras que usted debe instalar son la 8.5.12, 8.4.27, 8.3.36 o 8.2.35, dependiendo de la rama que utilice su empresa.

Qué significa para una pyme colombiana y cucuteña: Si usted tiene una página web, un sistema de facturación o un administrativo que use PHP, debe pedirle a su técnico que actualice el motor a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35 de inmediato. No basta con actualizar el código de su página; es obligatorio actualizar el programa que la hace funcionar en el servidor y reiniciar los servicios (Apache o Nginx). Si su empresa todavía usa versiones muy antiguas como la 7.4, 8.0 u 8.1, está en alto riesgo porque ya no reciben protección oficial. Además, para mitigar el nuevo fallo sin parche, solicite que pongan el valor 'session.upload_progress.enabled=0' en el archivo de configuración php.ini.