Vulnerabilidades críticas de PHP obligan a actualizar de urgencia

PHP ha publicado hoy las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas: con una simple petición web, alguien sin credenciales puede ejecutar código en tu servidor. Si tienes PHP en producción, es extremadamente urgente actualizar hoy.

Si tienes el mantenimiento contratado con Nebux, como siempre, tú no tienes que hacer nada: ya está todo actualizado.

Qué está pasando

Hoy se han publicado las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. El equipo de seguridad de PHP puntúa las dos con un 9,2 sobre 10 en CVSS 4.0, que es el estándar que utilizamos los expertos en ciberseguridad a la hora de puntuar riesgos.

Afectan a cualquier instalación de PHP que sirva peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto está en mod_php, con un ataque ya demostrado.

Los detalles se filtraron ayer, antes de la fecha prevista, y PHP ha adelantado un día la publicación.

Si todavía no puedes actualizar

PHP propone estas medidas mientras tanto. No protegen del todo: solo actualizar lo hace.

Para CVE-2026-109618, fija estos valores donde la aplicación no pueda cambiarlos, como php_admin_value en el pool de FPM o en la configuración de Apache:

memory_limit = -1
post_max_size = 8M    ; 32M si necesitas subir archivos

No limites la memoria con RLIMIT_AS ni RLIMIT_DATA, ya que provocan justo el fallo que se quiere evitar.

Para CVE-2026-109619:

session.upload_progress.enabled = 0
fatal_error_backtraces = 0    ; solo en PHP 8.5

Después, reinicia todos los procesos de PHP. No sirve cambiarlo con ini_set() ni con un .user.ini.

Si tienes PHP 8.1 o anterior

Los desarrolladores ya no publican parches corregidos para estas versiones. Su equipo de seguridad ha preparado correcciones para la 8.1, 8.0 y 7.4, pero tendrías que compilarlas tú mismo para aplicarlas. Lo más seguro es pasar a una versión con soporte, teniendo en cuenta que el de la 8.2 termina el 31 de diciembre de 2026. Puedes comprobar hasta cuándo tiene soporte tu versión en endoflife.date.

Qué ocurre si eres cliente de Nebux

Todos nuestros clientes tenían versiones de PHP soportadas porque hacemos los deberes a tiempo, así que han podido aplicar el parche inmediatamente. Nuestro equipo, al publicarse la noticia, preparó un plan de actualización y, cuando PHP ha lanzado los parches, hemos actualizado todos los servicios. Como todavía no se había publicado la imagen OCI oficial de PHP (para Docker, Podman, etc.), hemos creado una transitoria con el parche. Tres horas después del lanzamiento, ya estaban todos los servicios actualizados (¡estamos hablando de decenas!). Además, sin coste adicional: está incluido en la cuota mensual.

El servicio de mantenimiento está pensado para cuidar lo que tienes en marcha y que siga funcionando, con las actualizaciones, las vulnerabilidades y el desgaste de cada día. Y, especialmente, para que en casos como este se pueda actualizar con total sencillez, sin tener que hacer migraciones a toda prisa y, por supuesto, sin ningún tipo de impacto en producción. Y no solo con PHP: todo el software se mantiene al día.

Es una cuota fija mensual según el volumen y complejidad de tu infraestructura. Si quieres que nos ocupemos de la tuya, cuéntanos.