La Agencia de Ciberseguridad del Estado (ACE) alerta sobre dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, que podrían permitir a un atacante ejecutar código en servidores vulnerables sin necesidad de autenticarse y comprometer los servicios alojados en esos servidores, así como la información que contienen.
Ante este riesgo, la ACE insta a los responsables de tecnología, seguridad de la información y tratamiento de datos personales a identificar los sistemas afectados, aplicar las actualizaciones de seguridad y verificar su correcta implementación, conforme a la normativa aplicable.
Sistemas afectados y riesgos de seguridad
Las vulnerabilidades están relacionadas con fallas en la gestión de memoria de PHP y pueden afectar a servidores web que utilizan versiones vulnerables de esta tecnología, incluidos entornos como PHP-FPM, Apache con mod_php, CGI, FrankenPHP y LiteSpeed. Las instituciones y organizaciones deben revisar tanto los sistemas que administran directamente como aquellos que operan mediante proveedores externos.
La existencia de estas vulnerabilidades no significa que un atacante haya ingresado a los sistemas, pero sí representa un riesgo que requiere atención inmediata.
Medidas de seguridad recomendadas
Ante estas vulnerabilidades, la ACE recomienda las siguientes medidas de seguridad, sin perjuicio de las obligaciones que establece la normativa aplicable:
1.- Identificar los sistemas vulnerables
Revisar los sitios web, aplicaciones, servidores y contenedores que utilizan PHP, comprobar las versiones instaladas y asignar responsables de las correcciones. La revisión también debe incluir los servicios administrados por terceros.
2.- Actualizar PHP con carácter urgente
Instalar las versiones corregidas correspondientes o aplicar los parches de seguridad del proveedor, siempre que este confirme la corrección de ambas vulnerabilidades.
3.- Verificar y documentar las correcciones
Comprobar las versiones o los parches instalados, verificar el funcionamiento de los servicios esenciales y buscar indicios de accesos no autorizados. También deberán conservar un registro de los sistemas intervenidos, los responsables, las fechas y los resultados de las verificaciones. La ACE advierte que las medidas temporales de mitigación no sustituyen las actualizaciones de seguridad. Si existen impedimentos técnicos, los responsables deberán establecer medidas de contención y completar las correcciones con prioridad.
Versiones mínimas corregidas
| Rama instalada | Versión mínima corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| PHP 8.1 o anteriores | Migrar a una rama compatible o aplicar un parche confirmado por el proveedor. |
Antes de actualizar, los responsables técnicos deben respaldar los sistemas y sus datos, comprobar la compatibilidad de las aplicaciones y coordinar las intervenciones necesarias. Cada entorno tecnológico requiere un procedimiento específico:
Alojamiento administrado o compartido: solicitar al proveedor la actualización y la confirmación escrita de que corrigió ambas vulnerabilidades en todos los sitios afectados.
Servidores Linux: instalar los paquetes de seguridad de los repositorios oficiales de la distribución o del proveedor. Los proveedores pueden incorporar parches de seguridad sin cambiar la numeración de la versión de PHP.
Windows o instalaciones manuales: obtener los paquetes compatibles desde el portal oficial de PHP y seguir las instrucciones correspondientes.
Contenedores: actualizar la imagen base, reconstruir la aplicación y desplegar nuevamente todas las instancias.
Después de actualizar, los responsables deberán reiniciar los servicios que ejecutan PHP y comprobar que todas las instancias utilicen las correcciones correspondientes.
Información oficial: Los responsables técnicos pueden consultar los paquetes de actualización y las instrucciones correspondientes en el sitio oficial de PHP:
https://www.php.net/
https://www.php.net/downloads.php
La Agencia de Ciberseguridad del Estado exhorta a las instituciones y organizaciones a atender esta alerta con prioridad y adoptar las medidas necesarias para proteger sus sistemas y la información bajo su responsabilidad.
21 de octubre de 2026
Canales de contacto
Emergencias
(503) 7530-6114