Vulnerabilidad crítica en PHP: qué se sabe del release de seguridad del 21 de octubre

El equipo de seguridad de PHP publica el miércoles 21 de octubre de 2026 a las 14:00 UTC un release que corrige dos vulnerabilidades críticas, ambas con CVSS v4.0 9.2. Todavía no se sabe qué versiones afecta ni qué componente está roto. Lo que conviene hacer hoy es saber qué versión de PHP corre en cada servidor y tener listo el proceso para actualizar en cuanto salga el parche.

La noticia llegó por una filtración, y por eso en redes circulan datos que el aviso oficial no dice: un CVSS 10.0, "todas las versiones desde PHP 5", ejecución remota de código en el núcleo. Abajo separo lo que publicó php.net de lo que viene de la filtración. Este artículo se actualiza cuando salga el release.

Qué dice el aviso oficial de PHP

El 20 de octubre, el equipo de seguridad publicó en php.net un aviso titulado "Upcoming Critical PHP Security Release". El aviso completo cabe en cuatro puntos:

• El release de seguridad está programado para el miércoles 21 de octubre de 2026 a las 14:00 UTC.
• Corrige dos vulnerabilidades críticas, las dos con CVSS v4.0 9.2.
• El equipo se reserva el derecho de publicar antes si se hacen públicos los detalles de alguna de las dos o si aparece evidencia de explotación activa.
• Los detalles completos, las versiones afectadas y las versiones corregidas se publican junto con el release.

El aviso pide a los usuarios de PHP que se preparen para actualizar apenas esté disponible. No nombra los CVE, no dice qué parte de PHP está afectada y no da un vector CVSS.

La filtración: de dónde sale el "CVSS 10.0"

Todo empezó con un post en Hacker News, "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming". Su autor cita "a reliable source" y habla de dos RCE con CVSS 10.0 y de un anuncio el 22 de octubre a las 18:00 CEST. Poco después, php.net publicó su aviso con otra fecha: el 21 de octubre a las 14:00 UTC.

Los datos que después se repitieron en X también salen de ese hilo. Los identificadores CVE-2026-109618 y CVE-2026-109619 los propuso un comentario, que corregía unos números anteriores que apuntaban a plugins de WordPress; el aviso de php.net no los menciona. Lo de "todas las versiones desde PHP 5" y "solo se parchea PHP 8" lo dijo otro comentarista, sin fuente.

Así quedan los datos que circulan frente al aviso oficial:

Un 9.2 en CVSS v4.0 sigue siendo crítico. Pero hasta que se conozca el vector, no se sabe si el ataque necesita alguna configuración, una extensión concreta o una SAPI en particular.

Qué versiones de PHP van a recibir el parche

El parche oficial llega a las ramas con soporte. Según la tabla de versiones soportadas de php.net:

PHP 7.4 y todo lo anterior ya no figuran en esa tabla: el proyecto no les publica parches. Si el fallo también existe en esas versiones, la corrección va a depender de tu distribución o de tu proveedor de hosting, no de php.net.

Las versiones vigentes de cada rama, según la API de releases de php.net, son las del release de seguridad del 24 de septiembre de 2026: 8.2.34, 8.3.35, 8.4.26 y 8.5.11. El release del 21 de octubre debería traer la siguiente versión de cada rama soportada. Los números exactos los confirma php.net.

Cómo prepararte antes del release

Sin detalles técnicos no hay mitigación específica, así que el trabajo de hoy es dejar todo listo para actualizar rápido.

1. Inventario de versiones de PHP

Revisa la versión en cada servidor, contenedor y pipeline:

php -v
php -r 'echo PHP_VERSION, PHP_EOL;'

En un servidor con PHP-FPM, la versión de la CLI puede no coincidir con la que atiende las peticiones web. Confírmala desde el propio FPM:

php-fpm -v
# o, según la distro:
php-fpm8.4 -v

En imágenes Docker, la versión está en la etiqueta base del Dockerfile (php:8.4-fpm, php:8.3-apache). Anota cuáles fijan una versión exacta y cuáles una rama.

2. Saber de dónde sale tu PHP

El camino para actualizar depende del origen del binario:

• Imágenes oficiales de Docker: hay que reconstruir la imagen cuando se publique la etiqueta nueva y redesplegar.
• Paquetes de la distribución (Debian, Ubuntu, RHEL): el parche llega cuando el mantenedor de la distro lo empaqueta, y puede tardar más que el release de php.net.
• Repositorios de terceros (como los PPA o los repos de Remi): tienen su propio calendario.
• Hosting compartido o administrado: depende del proveedor. Vale la pena preguntar hoy cuándo piensan aplicar el parche.

3. Ventana de despliegue

Con el release a las 14:00 UTC, conviene tener ese día una ventana para reconstruir imágenes, actualizar paquetes y reiniciar PHP-FPM o el servidor web. Si actualizas el paquete y no reinicias FPM, los procesos que ya corrían siguen ejecutando el binario viejo.

4. Si tienes PHP sin soporte expuesto a internet

Si tienes PHP 7.x o anterior atendiendo tráfico público, este es el caso más delicado. Ahí no hay release oficial que esperar, así que revisa si tu distribución ofrece soporte extendido y, mientras tanto, reduce la superficie expuesta.

Qué va a pasar el 21 de octubre

Según el aviso, junto con el release se publican los detalles completos, las versiones afectadas y las corregidas. Con eso se va a poder responder lo que hoy no se sabe: qué componente está roto, qué condiciones necesita el ataque y si las versiones sin soporte están afectadas. Voy a actualizar este artículo con esos datos.

Preguntas frecuentes

Fuentes

• PHP: News Archive - 2026, "Upcoming Critical PHP Security Release" (aviso oficial del equipo de seguridad de PHP)
• PHP: Supported Versions (calendario oficial de soporte)
• PHP: Releases (API JSON, rama 8.4) (versiones vigentes por rama)
• Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming (Hacker News, origen de la filtración)