¿Tu sitio usa PHP? Cómo verificar y actuar.

1. Qué está confirmado

El proyecto PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619. Son fallos de gestión de memoria que, bajo determinadas condiciones, permiten ejecutar código remoto sin autenticación.

El primer aviso describe memoria que queda en un estado inválido al agotarse una asignación. El segundo trata de referencias a memoria liberada que persisten entre peticiones. La configuración y la forma de ejecutar PHP influyen en la exposición.

Fuentes: avisos del proyecto PHP para CVE-2026-109618 y CVE-2026-109619.

Las primeras versiones corregidas de las ramas mantenidas son:

Estos números son una referencia fechada, no una recomendación de quedarse en ellos: revisa las actualizaciones posteriores de tu rama.

Fuente: PHP, aviso de seguridad del 21 de octubre.

2. Cómo verificar tu instalación

1. Identifica los servicios. Incluye el sitio, subdominios, pruebas, paneles, webmail y productos que incorporen PHP. Prioriza lo accesible desde internet.
2. Pide evidencia al responsable. Anota dominio, versión completa, paquete del proveedor, modo de ejecución y estado de ambos CVE. Un enlace terminado en .html o la falta de cabeceras PHP no resuelven la pregunta.
3. Si no tienes inventario o acceso, registra “pendiente de confirmar”. Evita declarar vulnerable o protegido un servicio basándote solo en su aspecto.

Base del procedimiento: NCSC, identificación de instalaciones y productos que incorporan PHP. Los campos de registro son nuestra propuesta operativa.

En WordPress

Entra a Herramientas → Salud del sitio → Información → Servidor y registra la versión de PHP. Complementa el dato con la confirmación del hosting sobre el paquete instalado.

Fuente: WordPress, cómo consultar el entorno del servidor.

Si administras el servidor

Estos comandos de consulta ayudan a identificar el PHP de consola:

php -v
php --ini

La consola puede usar otro PHP distinto del que atiende la web. Contrasta el resultado con cada servicio, pool, contenedor o configuración del dominio. No publiques archivos de diagnóstico con información interna para hacer esta comprobación.

Referencia de los comandos: manual oficial de PHP, opciones de consola.

Ojo con los parches del proveedor

Un distribuidor puede incorporar la corrección sin cambiar al número de versión de la tabla. Solicita su boletín o revisión de paquete que confirme ambos CVE. Para ramas antiguas, verifica el soporte real y planifica la migración.

Fuente: PHP, paquetes de proveedores, soporte LTS y parches adaptados a ramas antiguas.

3. Qué hacer si falta el parche

Asigna un responsable y una ventana urgente de intervención. Nuestra secuencia de trabajo propuesta es:

1. Si hay señales de intrusión, sigue primero el apartado de respuesta a incidentes.
2. Respalda archivos, base de datos y configuración; confirma que puedes recuperarlos.
3. Valida rápidamente la compatibilidad en un entorno restringido y actualiza desde el canal oficial de tu proveedor.
4. Reinicia o reemplaza, según la plataforma, los procesos que ejecutaban PHP para que carguen el parche. Cambiar el archivo instalado no prueba qué código sigue en memoria.
5. Comprueba la versión o revisión efectiva de cada servicio y prueba acceso, formularios, sesiones y compra. Usa pruebas controladas para evitar cobros o pedidos reales.

Guarda el resultado. Actualizar WordPress y sus extensiones es una tarea complementaria: debes verificar también la corrección del intérprete PHP.

Base: NCSC, actualización urgente, pruebas y verificación. La secuencia de respaldo y comprobación funcional es nuestra recomendación operativa.

4. Si no puedes actualizar de inmediato

Escala al hosting. Pide que evalúe las mitigaciones oficiales para tu configuración y, si no puede controlar la exposición, la restricción o suspensión temporal del servicio. Un WAF puede complementar la defensa; no acredita que PHP esté corregido.

Fuente: NCSC, prioridades de mitigación y retirada temporal del servicio.

El administrador debe revisar la configuración efectiva, las necesidades de la aplicación y las novedades del aviso. Las mitigaciones temporales no equivalen a corregir todas las vías de ataque.

Si corresponde aplicar esa medida, configura session.upload_progress.enabled=0 antes del procesamiento de peticiones y reinicia los workers. El aviso indica que ini_set() y el archivo .user.ini de FPM no sirven para esta mitigación. Ante sospecha de intrusión, coordina primero la preservación de evidencias.

Fuente: PHP, avisos del 21 y 23 de octubre.

5. Si sospechas una intrusión

Archivos, usuarios o tareas desconocidas, redirecciones y comunicaciones inusuales justifican una investigación. Por sí solos no atribuyen el problema a estos CVE. Tampoco una página que carga normalmente descarta una intrusión.

1. Contén y escala. Contacta al hosting o al equipo de respuesta. Restringe el sistema afectado y conserva un canal de atención alternativo para el negocio.
2. Preserva evidencias. Registra horas y acciones; conserva registros y solicita capturas de disco y memoria cuando proceda. Evita borrar o reiniciar antes de coordinar su recogida.
3. Investiga el alcance. Revisa cuentas, cambios y otros servicios accesibles desde el sistema. Aplicar el parche no demuestra que un acceso previo haya desaparecido.
4. Recupera con evidencia. Si se confirma compromiso, elimina persistencias o reconstruye desde una base confiable, corrige la causa y revisa los accesos antes de reabrir.
5. Protege los accesos expuestos. Desde un equipo confiable y dentro del plan de respuesta, cambia contraseñas y claves que pudieron quedar comprometidas y revoca sesiones o tokens afectados. Evita introducir claves nuevas en un sistema que siga bajo control del atacante.

Fuentes: Centro Canadiense de Ciberseguridad, contención y evidencia, NCSC, investigación y recuperación y CISA, guía de respuesta y recuperación. Son pautas generales de respuesta; no indicadores exclusivos de estos CVE.

6. Mensaje para tu proveedor

Copia y completa este texto; no requiere enviar contraseñas:

Solicito revisar el dominio [dominio] y los servicios asociados por CVE-2026-109618 y CVE-2026-109619.

Por favor, confirmen versión y revisión de PHP, modo de ejecución, boletín que acredita ambos parches y fecha de actualización de los procesos activos. Indiquen también si aplica el aviso del 23 de octubre sobre session.upload_progress.

Si falta la corrección, necesitamos responsable, plazo y medidas temporales. Si encuentran indicios de compromiso, solicitamos preservar evidencias y coordinar la respuesta antes de realizar una limpieza.

Esta es una plantilla de Plataformas Web Chile para solicitar una comprobación, no una afirmación de vulnerabilidad.

7. Cómo cerrar la revisión

Para nuestro registro proponemos estas categorías:

• Pendiente: no hay evidencia suficiente.
• No aplica al servicio revisado: el responsable confirmó que no ejecuta PHP; deja anotado el alcance.
• Corrección pendiente: se identificó un paquete sin parche confirmado.
• Parche verificado: hay evidencia del paquete y los procesos activos. No equivale a certificar ausencia de intrusión.
• Incidente en investigación: existen indicios que requieren análisis, incluso si ya se actualizó.

Registra responsable, fecha, servicios, evidencia, pruebas y próxima revisión. Consulta las fuentes antes de reutilizar esta guía: las versiones y recomendaciones pueden cambiar.

Solicitar ayuda para la revisión