Vulnerabilidades críticas de RCE descubiertas en Core PHP: CVE-2026-109618 y CVE-2026-109619

CVE-2026-109618 y CVE-2026-109619: lo que debes saber

• ¿Qué son? Dos vulnerabilidades críticas (puntuaciones de CVSS v4.0 de 9,2), CVE-2026-109618 + CVE-2026-109619 descubiertas en Core PHP. 

• ¿Qué consecuencias tienen? Si no se corrigen, las vulnerabilidades dejan a Core PHP (todas las versiones 5-8) expuesto a la ejecución remota de código (RCE).

• ¿Cómo debes actuar? La Fundación PHP ha corregido los vulnerabilidades CVE-2026-109618 y CVE-2026-109619 en PHP 8.2 y versiones posteriores (concretamente, las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35). Algunas distribuciones y proveedores de LTS ofrecen correcciones adaptadas a versiones anteriores, así que ponte en contacto con tu proveedor para conocer los detalles o actualiza a una versión compatible. El equipo de seguridad de PHP ha proporcionado adaptaciones mínimas del código fuente para PHP 7.4, PHP 8.0 y PHP 8.1, para ayudar a quienes compilan desde el código fuente o no tienen acceso a un proveedor de LTS. Mientras tanto, los clientes de Fastly pueden activar nuestra regla WAF para disponer de una protección temporal.

¿Qué son CVE-2026-109618 y CVE-2026-109619? 

El 21 de octubre de 2026 se publicaron dos CVE, CVE-2026-109618 y CVE-2026-109619, para solucionar unas vulnerabilidades críticas detectadas en Core PHP, una versión básica del lenguaje de programación PHP. Las dos CVE tienen una puntuación CVSS v4.0 de 9,2, lo que significa que son vulnerabilidades críticas que requieren atención inmediata y medidas de mitigación.

Detalles de la CVE

CVE-2026-109618: RCE a través de OOM
PHP utiliza la función longjmp() para los errores de falta de memoria (OOM) con el fin de salir del contexto actual y abortar la gestión de la petición. Es posible que algunos contextos no tengan en cuenta esta situación y dejen la memoria de la petición en un estado no inicializado. El procedimiento posterior de limpieza de la petición podría leer o bifurcarse en esta memoria. Varias estrategias de gestión de OOM pueden provocar esta situación de forma sistemática y dar lugar a la ejecución remota de código (RCE).

CVE-2026-109619: RCE a través de errores fatales
PHP utiliza la función longjmp() para que, ante errores fatales, se salga del contexto actual y se aborte la gestión de la petición. Es posible que algunos contextos no tengan en cuenta esta situación y dejen la memoria global en un estado no válido, apuntando a memoria que se libera al final de la petición. Las peticiones posteriores podrían leer o bifurcarse en esta memoria. Se pueden activar varias estrategias.

¿Qué consecuencias tienen CVE-2026-109618 y CVE-2026-109619? 

Si no se corrigen estas dos vulnerabilidades, Core PHP queda expuesto a la ejecución remota de código (RCE). Recomendamos encarecidamente a nuestros clientes, y a cualquiera que lea esta publicación, que actualicen las versiones vulnerables en cuanto haya un parche disponible. 

Qué está haciendo Fastly al respecto

Nuestro equipo de WAF de última generación ha creado un conjunto de reglas que los clientes pueden activar. Para acceder al parche virtual, deben activar las reglas directamente en el panel de control del WAF. Para reducir el riesgo de tus aplicaciones protegidas por NGWAF, los clientes de Fastly pueden activar la señal que cubre tanto CVE-2026-109618 como CVE-2026-109619. El contenido de detección de esta regla con plantilla específica para CVE busca los rasgos estructurales característicos de estos intentos de explotación —cuerpos y parámetros con formas que difieren del tráfico legítimo— que pueden indicar posibles intentos de explotación de los CVE de php2shell.

Debería servirte para protegerte un poco mientras esperas a que salga un parche oficial. 

Así te ayuda Fastly

Sabemos que nuestros clientes nos confían la resiliencia de sus servicios esenciales para su negocio, y un pilar fundamental de la misión de nuestra empresa es estar a tu lado cuando surgen imprevistos como las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. Nuestros equipos están a tu disposición para ayudarte a medida que estas vulnerabilidades evolucionan, tanto si eres un cliente de toda la vida de la plataforma Fastly como si eres nuevo y necesitas protección inmediata. Ponte en contacto con nosotros si necesitas más ayuda.