PHP: 2 fallas en ataque

Qué pasó

PHP contiene una falla de corrupción de memoria que permite la ejecución remota de código sin autenticación. PHP contiene una falla de estado interno de solicitud obsoleta que permite la ejecución remota de código sin autenticación.

Texto original: PHP contains an out-of-memory corruption vulnerability that allows for unauthenticated remote code execution. PHP contains a stale internal request-state vulnerability that allows for unauthenticated remote code execution.

Qué hacer

Instala la corrección que publicó PHP Group para PHP. Si aún no existe, aplica sus medidas temporales o deja de usar el producto. La fecha límite que CISA dio a las agencias de EE. UU. venció el 29 de octubre de 2026: si aún no lo corriges, hazlo cuanto antes.

Fallas que incluye

• Falla de corrupción de memoria en PHP de PHP Group · Alta · CVE-2026-109618 · 26 de octubre de 2026
• Falla de solicitud interna obsoleta en PHP de PHP Group · Alta · CVE-2026-109619 · 26 de octubre de 2026

Van juntas porque todas se resuelven con la misma acción.

Datos

Gravedad

Alta

Tipo

Vulnerabilidad

Qué tan usado

Muy usado. Está en la lista de productos de uso común de la metodología.

Fecha límite de CISA

29 de octubre de 2026 (para agencias de EE. UU.)

Publicada por la fuente

26 de octubre de 2026

Vista por primera vez

14 de noviembre de 2026 a las 12:04 p.m. (hora de México)

Etiquetas

PHP Group PHP

Fuente

CISA Known Exploited Vulnerabilities · Dominio público (EE. UU.)