PHP publica una actualización urgente para corregir dos fallos críticos

Si tienes una web o un servidor que usa PHP, esta semana es importante. El equipo de seguridad de PHP ha publicado versiones corregidas para dos vulnerabilidades críticas que, según su aviso, pueden permitir la ejecución remota de código sin necesidad de autenticarse. Si gestionas un sitio, conviene actualizar cuanto antes.

Este artículo explica qué ha pasado, qué versiones están afectadas y qué pasos seguir.

Qué ha pasado

El 20 de octubre de 2026, el equipo de seguridad de PHP anunció una versión de seguridad para el día siguiente. Avisó de dos vulnerabilidades críticas, ambas con una puntuación de 9,2 sobre 10 según la escala CVSS v4.0.

Antes del aviso oficial, la información circuló por un canal no oficial. Un post en Hacker News hablaba de dos fallos y se borró después, y la divulgación se adelantó un día. Por eso, lo más fiable es seguir las fuentes oficiales.

El 21 de octubre, PHP publicó la actualización. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según la información publicada, la versión 8.5.12 incluye 90 correcciones en 29 componentes, además de los parches de seguridad.

Qué fallos se han corregido

Las vulnerabilidades son CVE-2026-109618 y CVE-2026-109619. PHP las describe como fallos que pueden permitir la ejecución remota de código sin autenticación, algo especialmente grave en un servidor expuesto a internet.

El primero está relacionado con la forma en que PHP interrumpe una petición cuando se queda sin memoria. El segundo tiene que ver con un estado interno que sobrevive a la memoria que lo contenía. En ambos casos, la recomendación oficial es la misma: actualizar.

Qué versiones están afectadas

PHP 5 y versiones posteriores aparecen como afectadas, según el organismo europeo CERT-EU. En la práctica, la actualización que debes instalar depende de tu rama:

• PHP 8.5: actualiza a 8.5.12.
• PHP 8.4: actualiza a 8.4.27.
• PHP 8.3: actualiza a 8.3.36.
• PHP 8.2: actualiza a 8.2.35. Esta rama llega al final de su soporte el 31 de diciembre de 2026, así que conviene planear la migración.

Qué hacer ahora

1. Comprueba tu versión de PHP con el comando php -v en tu servidor.
2. Instala la versión corregida de tu rama. Si usas un proveedor de hosting o un panel de control, consulta si ya ha publicado la actualización.
3. No olvides PHP-FPM. Si tu servidor usa FPM, asegúrate de que también corre la versión corregida. Según el aviso, ambas configuraciones pueden verse afectadas.
4. Si no puedes actualizar de inmediato, sigue las mitigaciones que indique el aviso oficial de php.net y limita el acceso a tu servidor mientras tanto.
5. Revisa los paquetes automáticos. En algunos sistemas, las actualizaciones automáticas de seguridad no instalan PHP por defecto, así que conviene comprobar la versión a mano.

Errores comunes que conviene evitar

• Pensar que solo afecta a servidores propios. Muchos alojamientos compartidos y paneles gestionan PHP, así que revisa con tu proveedor.
• Actualizar solo el PHP de consola. En algunos entornos, el PHP que usa la web es otro, por ejemplo el de FPM o el de Apache.
• Esperar a que se note algo raro. Una vulnerabilidad crítica no siempre deja rastro visible.

Conclusión

La actualización de PHP es una de esas noticias técnicas que conviene atender sin dramatismo, pero sin demora. Si tu sitio usa PHP, actualiza a la versión corregida de tu rama, revisa también PHP-FPM y confirma que el cambio se ha aplicado. Un par de minutos hoy pueden evitarte un problema serio mañana.