Más de un día después de la publicación del parche, administradores de sistemas siguen actualizando servidores de PHP a marchas forzadas. El 21 de octubre de 2026 el proyecto PHP liberó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas de ejecución remota de código (RCE) sin necesidad de autenticación.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación CVSS v4.0 de 9.2. Bajo ciertas condiciones, permiten que un atacante ejecute código en el servidor. Afectan a instalaciones de PHP que atienden peticiones web, como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed. En Apache con mod_php, un solo request no autenticado puede disparar el problema antes de que corra el código de la aplicación.
La cifra de “hasta 70 % de los sitios web” se basa en datos de W3Techs: PHP se usa en cerca del 69,3 % de los sitios cuyo lenguaje del lado del servidor es conocido. No cubre todo internet, pero sí una porción enorme. El equipo de seguridad de PHP advirtió que no hay mitigaciones completas y que actualizar es la única opción segura. Las versiones 8.1 y anteriores no reciben un paquete oficial completo, aunque hay backports de código fuente para quienes compilien ellos mismos.
Hasta el momento no se han reportado explotaciones masivas en la naturaleza, pero la gravedad y el alcance obligan a parchear de inmediato. Los administradores que aún no lo hayan hecho deben actualizar y reiniciar los servicios lo antes posible.