PHP publicará el 21 de octubre parches de emergencia para dos fallas críticas que, según investigadores, se filtraron

El equipo de seguridad de PHP publicará el miércoles 21 de octubre a las 14:00 UTC actualizaciones de emergencia para dos fallas críticas. Son las 11:00 en Buenos Aires, las 9:00 en Bogotá y las 8:00 en Ciudad de México. En su aviso del martes 20, PHP pidió a todos sus usuarios prepararse desde ahora para actualizar apenas salga el parche.

El apuro tiene una explicación que PHP no dio. Horas antes del aviso, la empresa de seguridad watchTowr escribió en X que la información de las fallas se había filtrado. "Todos debíamos esperar hasta el jueves a las 11 de la mañana, hora del este de Estados Unidos. Se filtró información sobre vulnerabilidades de ejecución remota de código en PHP que estaban bajo embargo. Podemos confirmar que son reales", publicó. El embargo es el acuerdo por el que quienes conocen una falla la mantienen en reserva hasta que exista la corrección.

PHP es el lenguaje de buena parte de la web. Según W3Techs, lo usan casi siete de cada diez sitios cuyo lenguaje de servidor se puede identificar. Sobre PHP corre WordPress, que según la misma medición está detrás de cuatro de cada diez sitios de internet.

Lo que se sabe de las dos fallas

PHP dijo poco. Su aviso informa que cada falla tiene 9,2 sobre 10 en la versión 4.0 del sistema común de puntuación de vulnerabilidades (CVSS), y deja para el día del parche qué hacen, qué versiones alcanzan y cuáles las corrigen.

El resto viene de watchTowr. Benjamin Harris, su director ejecutivo, le dijo a BleepingComputer que se trata de fallas de ejecución remota de código, es decir, que permitirían a un atacante correr sus propias instrucciones en el servidor. "Las dos tienen CVSS 10 y se entiende que afectan a las versiones 5, 6, 7 y 8 de PHP", agregó. La empresa dijo que reprodujo una de las dos. La lista tiene una rareza, porque PHP 6 nunca salió como versión estable. Fue un proyecto que PHP abandonó en 2010, y el lenguaje saltó de la 5 a la 7.

Tres datos que no coinciden

El primero es la gravedad. PHP dice 9,2, mientras watchTowr y una publicación ya borrada del foro Hacker News, que vio BleepingComputer, hablan de 10. La cifra oficial es la de PHP, y las dos ubican las fallas en la franja crítica.

El segundo es la fecha. watchTowr y la publicación de Hacker News hablaban del jueves 22, y PHP fijó el miércoles 21. El aviso no aclara si adelantó la fecha, aunque dice que se reserva ese derecho. "Nos reservamos el derecho de publicar antes si se hacen públicos los detalles de cualquiera de las dos vulnerabilidades o si aparece evidencia de explotación activa", escribió.

El tercero son los identificadores CVE-2026-109618 y CVE-2026-109619, que citan watchTowr y la publicación de Hacker News. Son identificadores que circulan, sin confirmar por PHP, cuyo aviso no menciona ningún CVE.

Sin explotación conocida, por ahora

El estado es sin explotación conocida. watchTowr le dijo a BleepingComputer que no vio ataques pese a la filtración, y PHP tampoco los reportó. El riesgo es la ventana entre la filtración y el parche, cuando quien tenga los detalles puede usarlos contra servidores que todavía no se actualizaron.

Qué hacer antes del miércoles

El primer paso es hacer el inventario de dónde hay PHP. Servidores web, sitios en WordPress, contenedores y aplicaciones internas que nadie volvió a tocar, con la versión de cada uno, que se ve con php -v.

El segundo es reservar la ventana de actualización para el miércoles a la mañana en América Latina, con alguien disponible para aplicar el parche y probar que los sitios sigan funcionando.

El tercero es vigilar de dónde viene cada PHP. Quien lo instala desde su distribución de Linux recibe la corrección cuando la distribución publica sus paquetes, que puede ser más tarde que PHP. Quien usa un hosting compartido depende del proveedor, y conviene preguntarle cuándo actualiza.

Queda un problema de fondo. Según la tabla de versiones de PHP, hoy solo reciben correcciones de seguridad las ramas 8.2, 8.3, 8.4 y 8.5. Según W3Techs, uno de cada tres sitios con PHP todavía corre la versión 7 o la 5. Si watchTowr tiene razón sobre las versiones afectadas, esos servidores no van a recibir parche oficial de PHP, y su salida es migrar a una rama vigente o depender de que la distribución lleve la corrección a su paquete.

Ficha técnica

CVE: sin confirmar por PHP. Circulan CVE-2026-109618 y CVE-2026-109619, según watchTowr y Hacker News. En la publicación de watchTowr en X el año aparece escrito como 2926.

CVSS: 9,2 en CVSS 4.0 para cada falla, según PHP. watchTowr habla de 10. El vector no se publicó.

Tipo: ejecución remota de código, según watchTowr, sin confirmar por PHP. CWE sin publicar.

Versiones afectadas y corregidas: PHP las publicará con el parche.

Parche: miércoles 21 de octubre de 2026 a las 14:00 UTC, según PHP.

Aviso del fabricante: Upcoming Critical PHP Security Release.