El equipo de seguridad de PHP advierte sobre dos vulnerabilidades críticas de ejecución remota de código (RCE) que afectan a las versiones 5, 6, 7 y 8. Debido a que la información se filtró antes de tiempo, se han programado actualizaciones de seguridad urgentes para el miércoles 21 de octubre. Se insta a los administradores a instalar los parches inmediatamente una vez que estén disponibles.





El equipo de seguridad de PHP advierte a los administradores que se preparen para actualizaciones de seguridad de emergencia mañana para solucionar dos vulnerabilidades críticas, ya que se informa que la información sobre los fallos se ha filtrado antes de su divulgación programada.

PHP impulsa muchos sitios web y aplicaciones web, incluidos sistemas de gestión de contenidos, plataformas de comercio electrónico y servicios web personalizados.

En un aviso publicado el martes [https://www.php.net/archive/2026.php#2026-10-20-1], el equipo de desarrollo de PHP anunció que tiene previsto lanzar actualizaciones de seguridad el miércoles 21 de octubre a las 14:00 UTC (10:00 AM Eastern), para solucionar dos vulnerabilidades, cada una calificada con 9.2 según CVSS v4.0.

El equipo de seguridad de PHP también envió un aviso a su lista de correo ANNOUNCE, instando a los administradores a prepararse para instalar las actualizaciones de seguridad tan pronto como estén disponibles.

"Nos reservamos el derecho de publicarlas antes si los detalles de cualquiera de las vulnerabilidades se hacen públicos, o si aparece evidencia de explotación activa", advirtió el equipo de seguridad de PHP.

Los desarrolladores no han revelado detalles técnicos sobre las vulnerabilidades, incluyendo qué versiones de PHP están afectadas, cómo pueden ser explotadas o qué versiones contendrán las correcciones.

Sin embargo, investigadores de seguridad de watchTowr informaron que las vulnerabilidades, rastreadas como CVE-2026-109618 y CVE-2026-109619, son fallos de ejecución remota de código (RCE) que se cree afectan a las versiones 5, 6, 7 y 8 de PHP.

"En la última hora, se han filtrado dos vulnerabilidades de ejecución remota de código en PHP. Estas vulnerabilidades estaban previamente programadas bajo embargo y debían publicarse el jueves a las 11 am ET", dijo el CEO de watchTowr, Benjamin Harris.

"Aunque no podemos compartir información técnica en este momento por razones obvias, dada la sensibilidad, podemos confirmar que estas vulnerabilidades son reales. Ambas son CVSS10 y se entiende que afectan a las versiones 5, 6, 7 y 8 de PHP".

watchTowr también afirmó creer que ha reproducido con éxito la CVE-2026-109618, pero no publicará información técnica hasta que los parches de seguridad estén disponibles.

Los investigadores aclararon que no han observado la explotación de las vulnerabilidades en entornos reales, a pesar de que la información se filtró antes de la divulgación prevista.

En una publicación en X [https://x.com/watchtowrcyber/status/2112611507749982605], watchTowr advirtió que la información sobre las vulnerabilidades se había filtrado antes de la fecha de divulgación originalmente planificada.

"Se suponía que todos debíamos esperar hasta el jueves a las 11 am ET. Se ha filtrado información sobre vulnerabilidades RCE de día cero bajo embargo en PHP. Podemos confirmar que son reales", dijeron los investigadores.

La advertencia sigue a una publicación ahora eliminada en el foro Hacker News de Y Combinator, en la cual un usuario llamado "petecooper" afirmaba que el 22 de octubre se divulgarían dos vulnerabilidades críticas de ejecución remota de código de PHP.

La publicación afirmaba que ambas vulnerabilidades tenían puntuaciones CVSS de 10.0 y afectaban a versiones de PHP que datan de PHP 5.

También identificó las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619, coincidiendo con los identificadores que watchTowr compartió posteriormente.

Sin embargo, las declaraciones de watchTowr y la publicación de Hacker News difieren del anuncio oficial de PHP. Ambos describieron las vulnerabilidades como CVSS 10.0, mientras que el equipo de seguridad de PHP asignó a cada una una puntuación CVSS v4.0 de 9.2.

Además, watchTowr citó una divulgación originalmente planificada para el jueves, mientras que PHP ha programado oficialmente su lanzamiento de seguridad para mañana por la mañana.

El equipo de seguridad de PHP dice que publicará los detalles técnicos completos, las versiones afectadas y las versiones corregidas cuando las actualizaciones de seguridad estén disponibles.

Fuente:
BleepingComputer