Las fallas anunciadas por el equipo de PHP ya están corregidas en nuestros proyectos; los servidores se están habilitando con las migraciones aplicadas.

Los proyectos ya corren en PHP 8.5.12; la habilitación de servidores continúa.

El pasado 21 de octubre, el equipo de PHP publicó un aviso de seguridad sobre dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, ambas calificadas con 9.2 en la escala CVSS v4.0. Estas fallas pueden permitir la ejecución remota de código sin necesidad de autenticación, es decir, que un atacante tome el control de un servidor sin tener usuario ni contraseña.

Las dos vulnerabilidades anunciadas por PHP el 21 de octubre.

La primera vulnerabilidad está relacionada con el manejo de errores por falta de memoria, que puede interrumpir a PHP mientras los datos internos de una petición están solo parcialmente inicializados. La segunda se debe a que cierto estado interno puede sobrevivir después de que su memoria fue liberada, y una petición posterior atendida por el mismo proceso podría utilizarlo.

Las fallas afectan a todas las instalaciones de PHP que atienden peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP considera que el riesgo es mayor con mod_php, donde ya se demostró un ataque que se ejecuta antes de que corra el código de la aplicación.

Cualquier forma de ejecutar PHP en un servidor web estaba expuesta.

Qué hicimos

PHP señaló que no existen mitigaciones completas y que actualizar es la única opción segura. Por ello, nuestro equipo migró los diferentes proyectos desarrollados en PHP a la versión 8.5.12, publicada con la corrección de ambas vulnerabilidades. Con esta actualización, las fallas quedan resueltas en nuestros sistemas.

Estado actual

En este momento estamos habilitando los servidores con las migraciones ya aplicadas. Les mantendremos informados conforme concluya este proceso. Para cualquier duda, pueden comunicarse con [CONTACTO DE SOPORTE].

Fuente: aviso de seguridad y anuncios de versiones publicados en php.net el 21 de octubre de 2026.