El equipo de seguridad de PHP advierte sobre dos vulnerabilidades críticas de ejecución remota de código (RCE) que afectan a las versiones 5, 6, 7 y 8. Debido a que la información se filtró antes de tiempo, se han programado actualizaciones de seguridad urgentes para el miércoles 21 de octubre. Se insta a los administradores a instalar los parches inmediatamente una vez que estén disponibles.

PHP ha corregido un fallo de seguridad de severidad moderada (CVE-2026-91766) que podía exponer credenciales de inicio de sesión, cookies y datos de autenticación de proxy. Este error ocurría durante las redirecciones HTTP cuando se utilizaba el envoltorio de flujo (stream wrapper) de PHP con los protocolos http:// o https://, enviando potencialmente dicha información sensible a un servidor no deseado.

Se detectó un malware en dispositivos F5 BIG-IP APM que oculta una web shell directamente en la memoria, evitando así la detección mediante el escaneo de archivos en disco. Esta amenaza aprovecha la vulnerabilidad CVE-2025-53521 para ejecutar código remoto y permite a los atacantes controlar el sistema. Se recomienda aplicar los parches disponibles y realizar verificaciones de integridad, ya que la actualización por sí sola podría no eliminar la infección existente.

Se ha revelado una falla de seguridad en Composer, el gestor de dependencias de PHP, identificada como CVE-2026-59944. Este error permitiría que un paquete malicioso modifique los permisos de archivos fuera de su propio directorio de instalación, lo que podría exponer archivos sensibles y claves SSH, especialmente en sistemas compartidos o multi-inquilino.

Se ha detectado una vulnerabilidad crítica (CVE-2026-61511) en el software de foros vBulletin (versiones 5.x y 6.x) que permite a atacantes no autenticados ejecutar código PHP remoto. El fallo se debe a una sanitización insuficiente de datos en la función `runMaths()`, y ya existe un exploit público (PoC) disponible. Se recomienda actualizar a la versión 6.2.2 o aplicar los parches correspondientes para mitigar el riesgo.

vBulletin ha corregido la vulnerabilidad CVE-2026-61511, un fallo crítico de ejecución remota de código. Este error permitía que atacantes no autenticados ejecutaran código PHP arbitrario para comprometer servidores de foros vulnerables. El problema afectaba a las versiones 6.2.1 y anteriores, así como a las 6.1.6 y anteriores, localizándose específicamente en el método vB5_Template_Runtime::runMaths() del archivo /includes/vb5/template/runtime.php.

Un estudio reciente ha revelado que más del 70% de los sitios web de WordPress accesibles al público utilizan versiones obsoletas de PHP, lo que aumenta considerablemente su vulnerabilidad ante ciberataques. Este hallazgo evidencia una brecha de seguridad creciente en el ecosistema web global, donde millones de sitios dependen de tecnologías backend antiguas a pesar de existir actualizaciones de seguridad regulares.

Se han descubierto dos fallos críticos en la capa del controlador de base de datos de PHP, específicamente dentro de PHP Data Objects (PDO). Estas vulnerabilidades, presentes en los controladores para Firebird y PostgreSQL, permiten que atacantes evadan las medidas de seguridad para introducir datos maliciosos, exponiendo el sistema a riesgos de inyección de SQL en Firebird y ataques de denegación de servicio (DoS) en PostgreSQL.

Se han revelado múltiples vulnerabilidades de seguridad en PHP que podrían permitir a los atacantes provocar condiciones de denegación de servicio (DoS) y causar corrupción de memoria. Estos fallos, identificados como CVE-2026-12184 y CVE-2026-14355, afectan a diversas ramas activas del lenguaje y tienen un impacto significativo en aplicaciones web implementadas globalmente.

Una página de instalación de PHP mal configurada dejó expuesta la infraestructura interna de una plataforma activa de distribución de malware. Esto permitió que un investigador de seguridad obtuviera acceso administrativo accidental al panel de control de un actor de amenazas. Lo que parecía ser un sitio falso de descarga de software resultó ser un sistema backend activo utilizado para distribuir código malicioso.

Están explotando activamente una vulnerabilidad crítica de ejecución remota de código (RCE) en el plugin de WordPress Everest Forms Pro. Este fallo, identificado como CVE-2026-3300 con una puntuación CVSS de 9.8, permite que atacantes no autenticados inyecten y ejecuten código PHP arbitrario en sitios vulnerables. La falla afecta a todas las versiones hasta la 1.9.12.

Se han detectado dos vulnerabilidades críticas de seguridad de memoria en las funciones de procesamiento de imágenes de PHP. Estos fallos, encontrados en la extensión ext/standard por el investigador Nikita Sveshnikov, afectan específicamente a las funciones getimagesize e iptcembed. Según el reporte, un atacante podría utilizar archivos JPEG especialmente diseñados para filtrar memoria sensible del heap o ejecutar ataques de denegación de servicio (DoS).

Packagist ha alertado a los desarrolladores de PHP sobre un fallo en Composer (el gestor de dependencias de PHP) que provocó la filtración de tokens de autenticación de GitHub en registros de CI públicos. Este incidente genera una preocupación urgente debido a la posible exposición de credenciales en miles de proyectos de software activos a nivel mundial.

Se ha descubierto un grupo grave de vulnerabilidades en el procesamiento de cadenas del núcleo de PHP y en los componentes de ext-soap. Este fallo es crítico ya que permite la Ejecución Remota de Código (RCE) sin necesidad de autenticación, lo que pone a numerosos servidores web en riesgo inmediato de ser tomados totalmente bajo el control de un atacante.

PHP Composer lanzó actualizaciones de seguridad urgentes para abordar dos vulnerabilidades críticas de inyección de comandos. PHP Composer es una herramienta esencial de gestión de dependencias utilizada globalmente por desarrolladores, lo que hace que cualquier fallo de ejecución de código sea altamente preocupante. Estos errores específicos residen en el controlador del Sistema de Control de Versiones Perforce (VCS) y permiten a los atacantes ejecutar comandos arbitrarios en la máquina de una víctima.

Se ha descubierto una importante vulnerabilidad de seguridad en Livewire Filemanager, un componente de gestión de archivos ampliamente utilizado en aplicaciones web desarrolladas con Laravel. Registrada como CVE-2025-14894 y con la nota de vulnerabilidad VU#650657, esta falla permite a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables. El problema radica en una validación incorrecta de archivos en el componente LivewireFilemanagerComponent.php.

Se ha descubierto una vulnerabilidad crítica en la función extract() de PHP, que permite a los atacantes ejecutar código arbitrario aprovechando fallos de corrupción de memoria.

Se ha identificado una vulnerabilidad crítica en los flujos libxml de PHP, que podría afectar a las aplicaciones web que utilizan las extensiones DOM o SimpleXML para las solicitudes HTTP.

Existen varias alternativas para conectar el intérprete de PHP con Apache, cada una de ellas con sus ventaja e inconvenientes. Vamos repasar las principales e intentaremos responder a la pregunta de cuál es la más adecuada en función del uso que le vayamos a dar.