Dos fallos críticos en PHP permiten ejecución remota de código sin autenticación
Dos vulnerabilidades críticas en PHP habilitan ejecución remota de código sin credenciales, con exploits públicos circulando. Ya hay versiones corregidas para las ramas 8.5, 8.4, 8.3 y 8.2.
El equipo de PHP publicó parches de emergencia para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, que permiten ejecución remota de código sin necesidad de autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y las autoridades de seguridad recomiendan aplicarlas de inmediato o retirar de línea cualquier instalación expuesta mientras no sea posible actualizar.
El alcance del problema cubre prácticamente cualquier despliegue de PHP que atienda peticiones web: PHP-FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed. El caso de mod_php se considera el más delicado, porque el ataque se dispara antes de que se ejecute una sola línea del código de la aplicación, de modo que las validaciones y controles escritos en el propio software no alcanzan a intervenir. Hasta el momento se reporta explotación activa en internet, con pruebas de concepto ya disponibles públicamente.
Un detalle que está llamando la atención de la industria es el origen del hallazgo: los fallos fueron localizados con apoyo de modelos de inteligencia artificial de Calif, OpenAI y Wiz. Los mismos modelos que aceleran el descubrimiento de errores a gran escala también reducen la barrera para construir herramientas de ataque, y el equipo de investigación watchTowr ya reporta intentos de explotación basados en pruebas de concepto generadas de esa manera.
Para los equipos que mantienen aplicaciones en producción, la recomendación práctica es identificar qué versión de PHP corre en cada servidor, priorizar los entornos con exposición directa a internet y, cuando la actualización no sea viable de inmediato, aislar el servicio detrás de controles que impidan el acceso no autenticado. Revisar los registros en busca de patrones anómalos en peticiones recientes también ayuda a determinar si hubo intentos de aprovechamiento antes del parche.
Fuente: The Register / TechCrunch.