PHP: vulnerabilidad crítica CVE-2026-109619 explotada

PHP: vulnerabilidad crítica CVE-2026-109619 explotada

Qué es y a quién afectaEl fabricante PHP Group ha publicado la vulnerabilidad CVE-2026-109619, denominada oficialmente PHP Stale Internal Request-Stat...

Qué es y a quién afecta

El fabricante PHP Group ha publicado la vulnerabilidad CVE-2026-109619, denominada oficialmente PHP Stale Internal Request-State Vulnerability. Según la descripción del NIST en su base NVD, PHP mantiene estado global que apunta temporalmente a memoria de la petición; en determinados escenarios ese estado no se reinicia correctamente o se repuebla después de reiniciarse, de modo que puede seguir apuntando a memoria ya liberada. Las peticiones posteriores pueden leer o ramificar sobre ese estado obsoleto antes de que esté completamente inicializado. Existen varias estrategias para desencadenar la condición y provocar ejecución remota de código (RCE).

Metáfora visual de una vulnerabilidad crítica en PHP que permite ejecución remota de código

CISA lo resume de forma directa: permite a un atacante no autenticado ejecutar código de forma remota. La gravedad asignada es CVSS 4.0 de 9.2, CRITICAL, y se asocia a los tipos de fallo CWE-416, CWE-755, CWE-824 y CWE-1325. La fecha de publicación en NVD es el 21 de octubre de 2026.

Las versiones afectadas que recoge el NVD son:

  • PHP desde 5.4.0 (incluida) hasta 8.2.35 (sin incluir).
  • PHP desde 8.3.0 (incluida) hasta 8.3.36 (sin incluir).
  • PHP desde 8.4.0 (incluida) hasta 8.4.27 (sin incluir).
  • PHP desde 8.5.0 (incluida) hasta 8.5.12 (sin incluir).

El NVD añade además otras configuraciones afectadas, entre ellas firmware de Siemens Ruggedcom APE1808 y distintas versiones de Palo Alto Networks PAN-OS (desde 10.2.0 hasta 10.2.7 y varios hotfix de 10.2.7), junto con más de 285 configuraciones adicionales. En la práctica, esto significa que el fallo no solo afecta a servidores que ejecutan PHP directamente, sino también a productos de terceros que lo incorporan. Cualquier pyme, comercio online o empresa con una web en WordPress, PrestaShop o Joomla sobre un servidor propio, o con un equipo de IT reducido, debería comprobar si su stack está en el rango afectado.

Por qué es urgente

No se trata de una vulnerabilidad teórica. CISA la añadió a su catálogo KEV (Known Exploited Vulnerabilities) el 26 de octubre de 2026, lo que confirma que ya se explota en ataques reales. La agencia estadounidense dio a sus agencias federales un plazo de corrección hasta el 29 de octubre de 2026, apenas tres días después de la inclusión.

La acción exigida por CISA es aplicar las mitigaciones conforme a las instrucciones del fabricante, siguiendo la guía BOD 26-04 sobre priorización de actualizaciones de seguridad según el riesgo, así como los requisitos de triaje forense. Para servicios en la nube, la guía contempla aplicar las medidas indicadas o dejar de usar el producto si no hay mitigación disponible. Además, cada organización debe evaluar la exposición a internet de sus activos y asegurarse de cumplir las directrices de parcheo.

Conviene subrayar un punto: la explotación es remota y no requiere autenticación. Un atacante que alcance un servicio PHP vulnerable puede ejecutar código sin credenciales, lo que abre la puerta a robo de datos, despliegue de webs maliciosas o movimiento lateral dentro de la infraestructura. En el material consultado no consta su uso en campañas de ransomware, pero eso no reduce la prioridad: la ejecución remota de código es una de las consecuencias más graves que puede tener un fallo de este tipo.

Qué hacer hoy

La respuesta debe ser rápida y ordenada. Estos son los pasos recomendados:

  • Inventariar: localizar todos los sistemas que ejecutan PHP, tanto servidores propios como appliances y productos de terceros que lo integren. Revisar la versión exacta de PHP en cada uno.
  • Comparar con el rango afectado: si la versión está entre 5.4.0 y 8.2.35, entre 8.3.0 y 8.3.36, entre 8.4.0 y 8.4.27 o entre 8.5.0 y 8.5.12, el sistema está expuesto.
  • Aplicar la actualización o mitigación que indique el aviso del fabricante. El material referencia el aviso de seguridad del repositorio oficial de PHP (GHSA-6wmf-4rv5-p3rp) como fuente de mitigación y recomendaciones del proveedor; hay que seguir lo que allí se indique, sin improvisar parches propios.
  • Revisar indicios de intrusión: buscar comportamientos anómalos, procesos no esperados, ficheros modificados o accesos extraños en los servidores PHP, especialmente si han estado expuestos a internet.
  • Reducir la superficie expuesta: limitar el acceso público a paneles de administración, servicios de gestión y cualquier endpoint PHP que no necesite estar accesible desde fuera. Segmentar y restringir por IP cuando sea posible.

En el caso de webs gestionadas con CMS, conviene comprobar también las extensiones y el propio núcleo del CMS, ya que muchos de ellos dependen de la versión de PHP del servidor. Un WordPress, PrestaShop o Joomla sobre una versión vulnerable de PHP hereda el riesgo aunque el CMS esté actualizado.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Gestionar una vulnerabilidad crítica de este calibre requiere tiempo, inventario actualizado y capacidad de reacción. Un equipo de ciberseguridad como el de ALMC puede encargarse de detectar y cerrar vulnerabilidades antes de que se exploten: auditorías de seguridad y pentesting para identificar qué sistemas están expuestos, hardening de servidores para reducir la superficie de ataque, monitorización y respuesta a incidentes si hay sospecha de intrusión, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas.

Para pymes, comercios online y empresas con un equipo de IT pequeño, contar con este apoyo externo permite priorizar lo urgente sin paralizar la operación. La clave con CVE-2026-109619 es no esperar: comprobar versiones, aplicar lo que indique el aviso del fabricante y revisar si ya ha habido actividad sospechosa. La ventana entre la publicación del fallo y su explotación real se ha acortado a días, y en este caso CISA ya ha confirmado ataques activos.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.