Los problemas de seguridad de PHP han dominado esta semana el ENISE, el encuentro de ciberseguridad que organiza INCIBE en León y que se clausura este viernes. PHP es uno de los lenguajes más usados para hacer páginas web: lo usan WordPress, muchas tiendas online y buena parte de los paneles de alojamiento.
Qué ha pasado
El 21 de octubre, el equipo de respuesta de INCIBE (INCIBE-CERT) publicó el aviso INCIBE-2026-762, con la máxima severidad: crítica. Recoge dos fallos en el núcleo de PHP, los CVE-2026-109618 y CVE-2026-109619. Ambos tienen una puntuación de 9,2 sobre 10 en la escala CVSS 4.0. La firma de seguridad watchTowr los ha bautizado como «PHP2shell».
Los dos fallos permiten que un atacante remoto, sin usuario ni contraseña, ejecute código en el servidor con los permisos del proceso web. En la práctica, eso puede servir para robar datos, alterar la web o instalar malware.
- CVE-2026-109618: cuando falla una reserva de memoria mientras PHP procesa una petición, el cierre de esa petición puede corromper la memoria. El vector más señalado son los formularios con envío de archivos (POST multipart). La ejecución de código se ha comprobado sobre Apache con mod_php.
- CVE-2026-109619: un dato interno de una petición sobrevive cuando ya se ha liberado su memoria, y la siguiente petición atendida por el mismo proceso puede usarlo. Afecta a Apache mod_php y a PHP-FPM.
INCIBE recoge informes de ataques contra servidores PHP anteriores a la publicación de los parches.
Versiones afectadas y corregidas
| Rama | Vulnerable antes de | Versión corregida |
|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.12 |
| PHP 8.4 | 8.4.27 | 8.4.27 |
| PHP 8.3 | 8.3.36 | 8.3.36 |
| PHP 8.2 | 8.2.35 | 8.2.35 |
Las ramas 8.1, 8.0 y 7.4 ya no tienen mantenimiento oficial. El proyecto ha publicado parches en código fuente, pero no versiones listas para instalar.
Qué hacer
Si tienes una web propia o en un VPS: actualiza PHP a la versión corregida de tu rama. Según INCIBE, es la única solución completa. Si no puedes hacerlo de inmediato, el aviso propone mitigaciones temporales, como limitar el tamaño de las peticiones (post_max_size) o desactivar session.upload_progress.enabled. Si un sistema expuesto a internet no puede actualizarse, recomienda aislarlo.
Si tienes alojamiento compartido: pregunta a tu proveedor si ya ha aplicado la actualización.
La polémica en León
El aviso coincidió con la celebración del ENISE en León. Según ILEÓN, algunas instituciones de la provincia desconectaron varias de sus webs de forma preventiva. También hubo críticas porque INCIBE no difundió la alerta en sus principales redes sociales.
Fuentes
- Múltiples vulnerabilidades en PHP (aviso INCIBE-2026-762) — INCIBE-CERT, 21 de octubre de 2026
- El INCIBE se suma a las alertas ante las vulnerabilidades de un lenguaje para páginas web — Infobae / EFE, 21 de octubre de 2026
- Las instituciones leonesas 'apagan' varias de sus webs ante la vulnerabilidad crítica — ILEÓN (elDiario.es)
Elaborado por la redacción de TodoWeb con asistencia de inteligencia artificial a partir de las fuentes enlazadas. ¿Has visto un error? Escríbenos desde correcciones.
