Las vulnerabilidades, rastreadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir a los atacantes ejecutar de forma remota código malicioso en servidores vulnerables sin autenticación. El equipo de seguridad de PHP publicó actualizaciones el 21 de octubre de 2026 a las 13:40 UTC. Los detalles técnicos completos de estas actualizaciones, así como las versiones afectadas y fijas acompañan a la versión.
El aviso de seguridad de PHP se puede encontrar en: https://www.php.net/archive/2026.php
Las organizaciones deben identificar sus aplicaciones basadas en PHP, coordinarse con los proveedores de alojamiento y servicios, y aplicar las actualizaciones de seguridad publicadas. Dar prioridad a los sistemas orientados a internet. Cuando la remediación inmediata no sea factible, considere aislar las aplicaciones expuestas de las redes públicas hasta que se puedan aplicar correcciones.
Muchos productos comerciales y de código abierto dependen de PHP en segundo plano. Como resultado, algunos pueden verse afectados por estas vulnerabilidades incluso si no parecen usar PHP directamente. Recomendamos consultar el repositorio NCSC-NL GitHub para obtener información sobre el software de terceros que incluye PHP y puede verse afectado: https://github.com/NCSC-NL/php2shell
Los últimos avisos publicados por los miembros de la Red de CSIRT se pueden encontrar en sus canales de comunicación oficiales relevantes. Las organizaciones también pueden remitirse a las orientaciones facilitadas por el CERT-UE. ENISA mantiene una colección de asesoramiento en: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
La ENISA y todos los agentes pertinentes de la UE seguirán supervisando esta amenaza para contribuir al conocimiento general de la situación a escala de la Unión.
Política de la UE
Las organizaciones también deben ser conscientes de que, a partir del 11 de septiembre de 2026, los fabricantes de productos de hardware y software deben notificar las vulnerabilidades explotadas activamente a través de la plataforma única de notificación de las agencias de calificación crediticia, de conformidad con el Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia). Puede obtenerse más información en: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting y https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Los principales requisitos de ciberseguridad del Reglamento de Ciberresiliencia se aplicarán a partir del 11 de diciembre de 2027. Esto requerirá que los fabricantes de productos de hardware y software («productos con elementos digitales») apliquen la seguridad desde el diseño y garanticen el apoyo a la seguridad durante el ciclo de vida de dichos productos, incluida la corrección de las vulnerabilidades sin demora.
Last update
22 octubre 2026