Publicado el 2026-10-24 · Mix Radio
Rasmus Lerdorf, creador de PHP, en agosto de 2014. Fotografía de archivo; no corresponde al anuncio de seguridad de 2026. Foto: William Stadtwald Demchick. CC BY-SA 4.0. Recorte 16:9.
El equipo de PHP ha publicado las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas que pueden permitir ejecutar código en un servidor sin autenticarse. Los parches están disponibles desde el 21 de octubre de 2026; ya no se trata de un aviso sobre una actualización futura.
El anuncio oficial de PHP 8.5.12 identifica los fallos como CVE-2026-109618 y CVE-2026-109619 y recomienda actualizar. PHP es el lenguaje que se ejecuta en el servidor de numerosas aplicaciones web: cambiar el navegador del visitante no corrige el componente afectado.
Qué versiones deben revisar los administradores
El CERT-In de India sitúa entre las versiones afectadas las anteriores a esos cuatro lanzamientos dentro de sus respectivas ramas. El organismo también informa de explotación activa y aconseja aplicar los parches con urgencia.
La agencia de ciberseguridad de Malasia, NACSA, precisa que el problema está en el motor de PHP, no únicamente en el código de una aplicación. Recomienda instalar una versión corregida, reiniciar los servicios afectados y verificar qué versión está funcionando realmente.
La comprobación que conviene pedir al alojamiento
Para quien gestiona una web mediante un proveedor, la pregunta concreta es si el PHP que atiende las peticiones del sitio ya incorpora ambas correcciones. Actualizar un complemento o el gestor de contenidos no demuestra por sí solo que se haya actualizado ese motor.
Si el proveedor mantiene una versión mediante parches propios, debe confirmar que estos cubren ambos identificadores. NACSA contempla esas correcciones verificadas para sistemas antiguos, pero advierte de que las medidas temporales no sustituyen la actualización completa.
.JPG){kind=link}