Seguir Los administradores de PHP enfrentan una actualización de seguridad urgente después de que los mantenedores anunciaron una publicación fuera de ciclo abordando dos vulnerabilidades críticas. Las fallas, rastreadas por investigadores de seguridad como CVE-2026-109618 y CVE-2026-109619, han recibido cada una una puntuación CVSS v4.0 de 9.2 por el equipo de seguridad de PHP. Los investigadores de watchTowr describen ambos problemas como vulnerabilidades de ejecución remota de código.
La publicación de emergencia está programada para el 21 de octubre de 2026 a las 14:00 UTC. PHP adelantó la divulgación después de que se filtró información sobre las vulnerabilidades antes de la fecha programada de publicación coordinada. Al momento de redactar, PHP no ha revelado los componentes vulnerables, requisitos de explotación, versiones afectadas o causas técnicas de raíz y dice que esos detalles acompañarán las actualizaciones de seguridad.
Los investigadores han apodado informalmente al par de vulnerabilidades «PHP2Shell», aunque este nombre no proviene del Proyecto PHP. La fuga temprana afirmó que las fallas podrían afectar versiones de PHP desde PHP 5 y les asignó puntuaciones CVSS de 10.0. Sin embargo, la calificación oficial de PHP es 9.2, y el rango de versiones reclamado aún no ha sido confirmado por un aviso oficial del proveedor.
El impacto potencial es, no obstante, significativo. PHP impulsa un gran número de sitios web, aplicaciones web, sistemas de gestión de contenido, plataformas de comercio electrónico, API, paneles de alojamiento y servicios empresariales personalizados. Si se confirma la ejecución remota de código en configuraciones comúnmente desplegadas, una explotación exitosa podría dar a los atacantes una ruta directa desde una aplicación web expuesta a un compromiso a nivel de servidor.
Los equipos de seguridad que buscan oportunidades de detección de CVE-2026-109618 deben priorizar el monitoreo basado en comportamientos mientras las firmas específicas de explotación permanecen no disponibles. La actividad sospechosa incluye procesos de PHP o servidores web lanzando inesperadamente shells, intérpretes, utilidades de línea de comandos o herramientas de descarga.
Los clientes de SOC Prime pueden aprovechar la Plataforma de Inteligencia de Detección Nativa de IA para acceder a contenido de detección continuamente actualizado para la explotación de vulnerabilidades y comportamiento asociado posterior a la violación. Las reglas de detección se pueden aplicar en múltiples entornos SIEM, EDR y Data Lake y están alineadas con el marco MITRE ATT&CK®.
Haga clic en Explorar Detecciones para acceder al contenido de SOC relevante para vulnerabilidades emergentes. Para detectar CVE-2026-109619 y intentos de explotación asociados, los defensores deben combinar análisis conductuales con telemetría de servidores web, endpoints y redes a medida que la inteligencia técnica esté disponible.
Los equipos de seguridad también pueden usar Prime Architect para convertir inteligencia de vulnerabilidad emergente en reglas Sigma y consultas de búsqueda personalizadas, validar la lógica de detección, visualizar posibles Flujos de Ataque y traducir rápidamente el contenido de detección en plataformas de seguridad compatibles.
Análisis de CVE-2026-109618 y CVE-2026-109619
El 20 de octubre de 2026, el equipo de seguridad de PHP emitió una advertencia anticipada de que se abordarían dos vulnerabilidades críticas a través de una publicación de seguridad excepcional al día siguiente. Ambas recibieron una calificación CVSS v4.0 de 9.2, y se urgió a los administradores a prepararse para actualizaciones inmediatas. PHP también reservó la opción de lanzar correcciones antes si la información técnica se hacía pública o se detectaba explotación activa.
El anuncio siguió a una fuga de información sobre dos vulnerabilidades embargadas. El material filtrado identificó CVE-2026-109618 y CVE-2026-109619 y caracterizó ambas como fallas de ejecución remota de código. Posteriormente, watchTowr confirmó a BleepingComputer que las vulnerabilidades son reales y dijo que sus investigadores creen que lograron reproducir una de ellas.
Sin embargo, hay diferencias importantes entre la información filtrada y lo que PHP ha confirmado oficialmente.
PHP asignó a ambas vulnerabilidades una puntuación CVSS v4.0 de 9.2 en lugar de la calificación CVSS 10.0 circulada en la fuga. PHP tampoco ha confirmado qué ramas son vulnerables, si la explotación requiere un modelo de implementación o configuración PHP particular, o si es necesario autenticación.
La afirmación de que CVE-2026-109618 afecta las versiones de PHP 5, 6, 7 y 8 proviene del investigador e información filtrada en lugar del aviso oficial de PHP. watchTowr en sí mismo señala que este alcance aún no ha sido confirmado por el proveedor.
Por lo tanto, un análisis cuidadoso de CVE-2026-109618 necesita separar los hechos confirmados de la investigación preliminar. Lo que está confirmado actualmente es que PHP considera críticas a dos vulnerabilidades, las califica a ambas en 9.2 y cree que el riesgo justifica una publicación de seguridad de emergencia fuera de ciclo. Los investigadores caracterizan las fallas como vulnerabilidades RCE, pero sus mecanismos subyacentes permanecen embargados.
Esta distinción también importa al evaluar entornos PHP heredados. El Proyecto PHP actualmente proporciona actualizaciones de seguridad solo para las ramas soportadas 8.2 hasta 8.5. PHP 8.2 y 8.3 reciben correcciones de seguridad, mientras que 8.4 y 8.5 permanecen bajo soporte activo. Las ramas más antiguas, incluidas PHP 8.1, 8.0, PHP 7.x y PHP 5.x, están al final de su vida y no recibirán parches de flujo ascendente si finalmente demuestran ser vulnerables.
Esto podría crear un escenario de remediación particularmente desafiante para organizaciones que operan aplicaciones antiguas que no pueden migrarse fácilmente. Los sistemas PHP heredados con acceso a Internet representarían una preocupación significativa si se confirma la exposición amplia de versiones reportada.
No hay PoC público de CVE-2026-109618 disponible al momento de escribir. watchTowr dice que cree que logró reproducir el problema, pero está reteniendo intencionadamente la información técnica hasta que las correcciones de seguridad estén disponibles. Huntress tampoco ha reproducido las vulnerabilidades y desconocía la existencia de código de explotación públicamente disponible.
No se había observado explotación activa por parte de los investigadores citados en ninguno de los informes hasta el 21 de octubre. Las vulnerabilidades tampoco estaban listadas en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA al momento del informe de The Hacker News.
En consecuencia, los IOCs de CVE-2026-109619 aún no han sido publicados. Actualmente no hay direcciones IP maliciosas confirmadas, dominios, hashes de cargas útiles, patrones de solicitudes de explotación u otros indicadores específicos de campaña directamente asociados con la explotación de esta vulnerabilidad.
Hasta que los detalles de explotación estén disponibles, los defensores deberían monitorear en su lugar señales genéricas de compromiso en servidores PHP. Los comportamientos de alto valor incluyen php-fpm, php-cgi, httpd, o apache2 generando shells, motores de scripting, utilidades de descarga u otros ejecutables inesperados. Nuevas web shells, modificaciones inexplicadas en la raíz web, trabajos cron, tareas programadas, cuentas recién creadas y conexiones salientes anómalas también deberían desencadenar una investigación.
Se espera que los detalles precisos para CVE-2026-109619 aclaren el componente PHP vulnerable, los requisitos del ataque, las ramas afectadas, las dependencias de configuración y las versiones corregidas una vez que PHP publique la actualización de seguridad.
Mitigación de CVE-2026-109618 y CVE-2026-109619
Los administradores de PHP primero deben construir un inventario preciso de cada implementación de PHP en el entorno. Esto incluye servidores web convencionales en Linux y Windows, así como tiempos de ejecución de PHP integrados en electrodomésticos, aplicaciones de terceros, plataformas de alojamiento y productos de administración como cPanel o Plesk.
Para la mitigación inmediata de CVE-2026-109619, las organizaciones deben prepararse para implementar la actualización de seguridad de emergencia de PHP tan pronto como las versiones corregidas estén disponibles. Las aplicaciones con acceso a Internet deben recibir la máxima prioridad porque los sistemas alcanzables remotamente suelen representar la mayor oportunidad para la explotación.
Las organizaciones que utilizan paquetes PHP proporcionados por la distribución deben verificar su proveedor de Linux o de alojamiento para actualizaciones de seguridad backportadas en lugar de suponer que solo el número de versión de PHP ascendente determina la exposición.
Las instalaciones heredadas de PHP requieren atención especial. Si una aplicación vulnerable ejecuta una versión de PHP al final de su vida para la cual no está disponible un parche oficial, las organizaciones deben priorizar la migración a una rama soportada. Donde la migración inmediata no es posible, la exposición debe reducirse restringiendo el acceso externo, colocando la aplicación detrás de controles de red apropiados, o aislando temporalmente el sistema.
La orientación de CERT-EU referenciada por The Hacker News recomienda considerar el aislamiento de aplicaciones con acceso a Internet de redes públicas cuando no se pueda aplicar un arreglo de inmediato.
Los defensores también deben fortalecer el monitoreo en torno a la ejecución de PHP. Alertar cuando los trabajadores de PHP o los procesos del servidor web generen utilidades como shells, PowerShell, Bash, Python, Perl, curl, wget, u otros programas que son inesperados para la aplicación.
Si se sospecha explotación, aísle el servidor afectado y preserve evidencia antes de la remediación. Los artefactos relevantes incluyen:
- Registros de acceso y error del servidor web
- Registros de aplicación y tiempo de ejecución de PHP
- Telemetría de punto final y proceso
- Archivos recientemente creados o modificados
- Contenido de la raíz web
- Trabajos cron y tareas programadas
- Cuentas o claves SSH recién creadas
- Conexiones de red salientes
- Actividad de autenticación y administrativa
Los equipos de seguridad también deben realizar búsquedas retrospectivas después de que se liberen los indicadores técnicos. Si los patrones de solicitudes HTTP específicos de explotación o las características de las cargas útiles se hacen públicas, la telemetría web e histórica de proxy podría identificar intentos de compromiso que ocurrieron antes de que se aplicaran los parches.
Las organizaciones deben evitar depender únicamente de un WAF como sustituto permanente para parchear. Hasta que se revelen las causas técnicas de raíz, no hay una regla genérica de WAF confirmada que pueda bloquear de manera confiable ambas vulnerabilidades sin conocer sus mecanismos de explotación.
Al aprovechar la Plataforma de Inteligencia de Detección Nativa de AI de SOC Prime, los equipos de seguridad pueden fortalecer continuamente su postura de detección a medida que surge nueva inteligencia sobre estas vulnerabilidades de PHP.
Descargo de responsabilidad: El contenido de detección puede no estar disponible para cada CVE. Consulte la Plataforma SOC Prime para cobertura actual. Si las detecciones relevantes aún no están disponibles, consulte nuevamente ya que constantemente se agrega nueva inteligencia de amenazas y contenido de detección.
FAQ
¿Qué son CVE-2026-109618 y CVE-2026-109619 y cómo funcionan?
CVE-2026-109618 y CVE-2026-109619 son dos vulnerabilidades críticas de PHP que los investigadores de watchTowr describen como fallas de ejecución remota de código. PHP ha confirmado oficialmente dos problemas críticos con puntuaciones CVSS v4.0 de 9.2, pero aún no ha revelado sus causas técnicas de raíz o mecanismos de explotación. Al momento de redactar, por lo tanto, no es posible describir con fiabilidad el flujo de ataque exacto. Se espera que PHP publique la información técnica con su lanzamiento de seguridad de emergencia.
¿Cuándo se descubrieron por primera vez CVE-2026-109618 y CVE-2026-109619?
La información sobre las vulnerabilidades se hizo pública el 20 de octubre de 2026, después de que los detalles de dos vulnerabilidades embargadas de PHP supuestamente se filtraran antes de su divulgación planeada. PHP emitió su advertencia anticipada oficial más tarde ese día y programó una publicación de seguridad de emergencia para el 21 de octubre de 2026 a las 14:00 UTC.
¿Cuál es el impacto de CVE-2026-109618 y CVE-2026-109619 en los sistemas?
Los investigadores de seguridad caracterizan ambas vulnerabilidades como problemas de ejecución remota de código. Si esa evaluación es confirmada por PHP, una explotación exitosa podría potencialmente permitir a un atacante ejecutar código en un servidor PHP vulnerable y proceder con el despliegue de malware, robo de credenciales, persistencia, movimiento lateral o acceso a datos dependiendo de los privilegios del servicio afectado. PHP aún no ha publicado las condiciones precisas de explotación, por lo que el impacto exacto y los prerrequisitos permanecen sujetos al próximo aviso del proveedor.
¿Pueden CVE-2026-109618 y CVE-2026-109619 seguir afectándome en 2026?
Sí. Al momento de escribir el 21 de octubre de 2026, la publicación de seguridad de emergencia está programada para las 14:00 UTC y las vulnerabilidades permanecen sin parche en las versiones actualmente desplegadas. Los investigadores han afirmado que las versiones de PHP que datan de PHP 5 pueden estar afectadas, pero PHP no ha confirmado oficialmente este rango de versiones. Las organizaciones deben inventariar todas las implementaciones y usar el próximo aviso del proveedor para determinar la exposición real.
¿Cómo puedo protegerme de CVE-2026-109618 y CVE-2026-109619?
Prepárate para instalar las actualizaciones de seguridad de PHP inmediatamente cuando se lancen, priorizando los servidores expuestos a internet. Inventaria las instalaciones de PHP, incluidos los tiempos de ejecución incluidos con aplicaciones y electrodomésticos, e identifica sistemas que ejecutan ramas al final de su vida. Hasta que se implementen las correcciones, aumenta el monitoreo para procesos secundarios de PHP inusuales y ejecución de comandos del lado del servidor. Los sistemas que no puedan ser parcheados rápidamente deben tener su exposición externa reducida o, donde sea operativamente posible, ser temporalmente aislados. Si se encuentra actividad sospechosa, aísle el servidor y preserve la telemetría web, PHP, de endpoint y de red para la investigación forense.
