Aviso de seguridad: vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619)

Publicado: 21 de octubre de 2026 Estado: corregido en nuestros servidores. Operamos con normalidad. RESUMEN El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas. En ciertas condiciones, permiten que un atacante ejecute código en un servidor web sin necesidad de usuario ni contraseña. Ya se están explotando activamente en internet, y se conocen públicamente con el nombre "php2shell". En HostMarva aplicamos las versiones corregidas de PHP ese mismo día en nuestros servidores. Hoy operamos de forma segura y con normalidad, sin cortes en el servicio de hosting. ¿QUÉ ES PHP Y POR QUÉ IMPORTA? PHP es el lenguaje con el que funcionan la mayoría de los sitios web dinámicos: WordPress, WooCommerce, tiendas en línea, sistemas de reservas, formularios y muchas aplicaciones a la medida. Cada vez que alguien visita una de esas páginas, PHP procesa la petición en el servidor. Por eso, una falla en PHP puede afectar a casi cualquier sitio, aunque el sitio en sí no tenga ningún error. DETALLE DE LAS VULNERABILIDADES 1) CVE-2026-109618 (aviso del proyecto PHP GHSA-w8hw-w9fx-j79w) - Nombre: ejecución remota de código por corrupción de memoria al agotarse la memoria (OOM). - Severidad: CRÍTICA, puntuación CVSS 9.2 de 10 (CVSS v4.0). - En qué consiste: cuando una petición agota la memoria que PHP tiene permitida en un momento muy específico, PHP puede dejar datos internos a medio preparar y después tratarlos como válidos. Eso corrompe la memoria del proceso y, con peticiones preparadas a propósito, puede terminar en la ejecución de código ajeno. - Requiere iniciar sesión: no. - Requiere que alguien haga clic o abra algo: no. 2) CVE-2026-109619 (aviso del proyecto PHP GHSA-6wmf-4rv5-p3rp) - Nombre: ejecución remota de código por estado interno que sobrevive entre peticiones. - Severidad: CRÍTICA, puntuación CVSS 9.2 de 10 (CVSS v4.0). - Clasificación: uso de memoria ya liberada (CWE-416, "use after free"), entre otras debilidades relacionadas con el manejo de errores. - En qué consiste: si una petición termina de golpe por un error grave, PHP puede conservar referencias internas a memoria que ya no le pertenece. Una petición posterior atendida por el mismo proceso puede llegar a usar esa memoria, lo que permite filtrar información o ejecutar código. - Requiere iniciar sesión: no. - Requiere que alguien haga clic o abra algo: no. Las dos fallas están en partes de PHP que intervienen en casi todas las visitas a un sitio (el manejo de memoria y de errores), por eso su alcance es tan amplio. El proyecto PHP indica que no existe ninguna configuración que las mitigue por completo: la única solución confiable es actualizar. IMPACTO POSIBLE EN UN SERVIDOR SIN ACTUALIZAR Un atacante podría ejecutar instrucciones con los permisos del sitio web afectado: modificar o borrar archivos, insertar código malicioso o páginas falsas, robar información de la base de datos o usar el sitio para atacar a otros. VERSIONES AFECTADAS Y CORREGIDAS - PHP 8.5: afectadas las anteriores a 8.5.12. Corregida: 8.5.12. - PHP 8.4: afectadas las anteriores a 8.4.27. Corregida: 8.4.27. - PHP 8.3: afectadas las anteriores a 8.3.36. Corregida: 8.3.36. - PHP 8.2: afectadas las anteriores a 8.2.35. Corregida: 8.2.35. - PHP 8.1 y anteriores: ya no reciben actualizaciones del proyecto PHP porque están fuera de soporte. LO QUE HICIMOS EN HOSTMARVA - El mismo 21 de octubre actualizamos PHP a las versiones corregidas (8.2.35, 8.3.36, 8.4.27 y 8.5.12) en nuestros servidores de hosting, en el servidor del sitio y área de clientes de HostMarva y en nuestro servidor de correo. - Reiniciamos los servicios de PHP para que todos los procesos usen la versión corregida, y comprobamos que los sitios siguieran funcionando con normalidad. - Estamos realizando una revisión preventiva de nuestros servidores en busca de cualquier actividad inusual. - Activamos la instalación automática de los parches de seguridad de PHP en nuestros servidores, para que futuras correcciones se apliquen lo antes posible. Para proteger la seguridad de nuestra infraestructura y de nuestros clientes, no publicamos detalles técnicos internos de nuestros servidores ni de cómo se aplicaron las medidas. ¿TIENES QUE HACER ALGO? No es necesario que hagas nada para recibir la corrección: la aplicamos nosotros. Aun así, te recomendamos: 1. Usar PHP 8.3 o superior en tu sitio. Si tu sitio todavía usa PHP 8.1 o una versión anterior, cámbialo a una versión con soporte o escríbenos y te ayudamos. 2. Mantener actualizados tu WordPress, tus plugins, temas y cualquier aplicación instalada. 3. Usar contraseñas seguras y distintas para tu panel, tu sitio y tu correo. 4. Si notas algo extraño en tu sitio (páginas que no reconoces, redirecciones, archivos nuevos o lentitud inusual), abre un ticket de soporte de inmediato. SEGUIREMOS INFORMANDO Seguimos monitoreando el tema de cerca. Si surge cualquier novedad que afecte a nuestros servicios, la publicaremos aquí y te avisaremos por los medios de contacto de tu cuenta. Si tienes dudas, abre un ticket desde tu área de clientes y con gusto te atendemos. REFERENCIAS PÚBLICAS - Anuncio oficial de PHP: https://www.php.net - Fundación PHP: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ - Aviso CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w - Aviso CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp - Centro Canadiense de Ciberseguridad (alerta AL26-026): https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619 Equipo HostMarva