Vulnerabilidades críticas de ejecución remota de código (RCE) descubiertas en Core PHP: CVE-2026-109618 y CVE-2026-109619

CVE-2026-109618 y CVE-2026-109619: lo que debes saber

• ¿Qué son? Dos vulnerabilidades críticas (puntuaciones CVSS v4.0 de 9.2), CVE-2026-109618 + CVE-2026-109619 descubiertas en Core PHP. 

• ¿Cuáles son los impactos? Si no se aplican parches, las vulnerabilidades dejan a Core PHP (todas las versiones 5-8) vulnerable a la ejecución remota de código (RCE).

• ¿Qué debes hacer? La PHP Foundation corrigió CVE-2026-109618 y CVE-2026-109619 en PHP 8.2 y versiones posteriores (en concreto, las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35). Algunas distribuciones y proveedores de LTS ofrecen correcciones retroportadas, así que ponte en contacto con tu proveedor para obtener más detalles o actualiza a una versión con soporte. El equipo de seguridad de PHP proporcionó correcciones mínimas retroportadas al código fuente para PHP 7.4, PHP 8.0 y PHP 8.1, con el fin de ayudar a quienes compilan desde el código fuente o no tienen acceso a un proveedor de LTS. Mientras tanto, los clientes de Fastly pueden activar nuestra regla de WAF para obtener protección temporal.

¿Qué son CVE-2026-109618 y CVE-2026-109619? 

El 21 de octubre de 2026, se lanzaron dos CVE, CVE-2026-109618 + CVE-2026-109619, para abordar vulnerabilidades críticas encontradas en Core PHP, una forma fundamental del lenguaje de programación PHP. Ambos CVE tienen una puntuación CVSS v4.0 de 9.2, lo que significa que son vulnerabilidades críticas que requieren atención y mitigación inmediatas.

Detalles de CVE

CVE-2026-109618 - RCE mediante OOM
PHP usa longjmp() para gestionar los errores de falta de memoria (OOM), salir del contexto actual y abortar el procesamiento de la solicitud. Algunos contextos podrían no tener debidamente en cuenta este escenario y dejar la memoria de la solicitud en un estado no inicializado. El procedimiento de limpieza de la solicitud posterior puede leer esta memoria o tomar decisiones en función de ella. Varias estrategias de OOM pueden desencadenar esta condición de manera consistente y provocar la ejecución remota de código (RCE).

CVE-2026-109619 - RCE mediante errores fatales
PHP utiliza longjmp() para salir del contexto actual cuando se producen errores fatales y abortar el procesamiento de la solicitud. Algunos contextos podrían no tener en cuenta correctamente este escenario y dejar la memoria global en un estado no válido, con una referencia a memoria que se libera al final de la solicitud. Las solicitudes posteriores pueden leer esta memoria o tomar decisiones basadas en ella. Varias estrategias pueden activarse.

¿Cuáles son los impactos de CVE-2026-109618 + CVE-2026-109619? 

Si no se aplican parches a las dos vulnerabilidades, Core PHP queda expuesto a la ejecución remota de código (RCE). Instamos a nuestros clientes y a cualquier otra persona que lea esta publicación a aplicar parches a las versiones vulnerables de inmediato, en cuanto haya un parche disponible. 

Qué está haciendo Fastly al respecto

Nuestro equipo de Next-Gen WAF creó un conjunto de reglas que los clientes pueden habilitar. Para acceder al parche virtual, los clientes deben habilitar las reglas directamente en el tablero de WAF. Para mitigar el riesgo para las aplicaciones protegidas por NGWAF, los clientes de Fastly pueden habilitar la señal que cubre tanto CVE-2026-109618 como CVE-2026-109619. El contenido de detección de esta regla con plantilla específica para CVE busca las características estructurales de estos intentos de explotación —cuerpos y parámetros con una estructura distinta a la del tráfico legítimo— que podrían indicar posibles intentos de explotar las CVE de php2shell.

Esto debería ayudar a brindar algo de protección mientras esperas un parche oficial. 

Cómo Fastly puede ayudar

Sabemos que nuestros clientes nos confían la resiliencia de sus servicios esenciales para el negocio, y que una parte fundamental de la misión de nuestra empresa es respaldarlos cuando surgen imprevistos como CVE-2026-109618 y CVE-2026-109619. Nuestros equipos están aquí para apoyarte a medida que evolucionan estas vulnerabilidades, tanto si eres cliente de la plataforma Fastly desde hace mucho tiempo como si acabas de llegar y necesitas protección inmediata. ¡Comunícate con nosotros para obtener ayuda adicional!

Watch Kelly Shortridge, Chief Product Officer, Explain More