SOC Prime ha identificado y divulgado dos fallos de seguridad en PHP que permiten la ejecución remota de código (RCE) cuando determinadas funciones o extensiones procesan entradas manipuladas por un atacante. Las vulnerabilidades aparecen reportadas como CVE-2026-109618 y CVE-2026-109619 y, según la nota técnica de SOC Prime, pueden explotarse para ejecutar código arbitrario en servidores que ejecutan versiones vulnerables de PHP.
Qué cambia con estas vulnerabilidades PHP RCE
Las dos fallas descritas permiten a un atacante lograr ejecución remota de código en entornos PHP mediante el envío de entradas diseñadas para ser procesadas por funciones o componentes concretos del lenguaje. Ese tipo de vulnerabilidad es crítico porque otorga control sobre el servidor o la aplicación afectada, con la posibilidad de comprometer datos, modificar ficheros o pivotar a otros sistemas de la red.
A quién afecta
- Servidores web y aplicaciones que ejecuten PHP y expongan funcionalidades que procesen datos externos (formularios, APIs, carga de ficheros, parámetros en URL).
- Proveedores de hosting, administradores de sistemas y desarrolladores de aplicaciones PHP que no hayan aplicado los parches o mitigaciones recomendadas.
Qué debe hacer un administrador
- Revisar la información técnica publicada por SOC Prime y las notas oficiales de PHP (si están disponibles) para confirmar si la versión instalada es vulnerable.
- Aplicar parches oficiales o actualizaciones de PHP tan pronto como estén disponibles. Si no hay parche inmediato, evaluar mitigaciones temporales como restringir el acceso a puntos que procesen entradas externas o deshabilitar extensiones/funciones implicadas si es factible sin romper la aplicación.
- Auditar los registros de acceso y sistema en busca de peticiones sospechosas alrededor de la fecha de divulgación y de cualquier actividad inusual que pueda indicar explotación.
- Hacer copias de seguridad completas y verificar la integridad de los sistemas antes de actualizar y después de aplicar mitigaciones.
Explicación técnica (en términos prácticos)
Una vulnerabilidad de ejecución remota de código (RCE) permite a un atacante ejecutar comandos o código en el servidor afectado. En PHP, esto suele relacionarse con funciones que evalúan entradas, manejan serialización, procesan datos binarios o interactúan con extensiones nativas que no validan correctamente los datos recibidos. Cuando una entrada manipulada llega a esas funciones, el código malicioso puede ejecutarse en el contexto del proceso PHP.
Para administradores menos familiarizados: si su servidor recibe datos desde usuarios (formulario, API pública, URL, carga de ficheros) y esos datos pasan por funciones de PHP sensibles, existe riesgo de explotación si la versión instalada es una de las afectadas.
Estado de divulgación y próximos pasos
SOC Prime publicó la detección el 21 de octubre de 2026. Los responsables de PHP y los mantenedores de extensiones afectadas podrían publicar parches o recomendaciones técnicas adicionales tras la divulgación. Manténgase atento a los avisos oficiales del proyecto PHP y a la información técnica ampliada por SOC Prime.
Si administra servidores o aplicaciones PHP, priorice la comprobación de versiones, aplique actualizaciones o mitigaciones y monitorice su entorno para detectar signos de explotación.
Lee también:
- Brecha en Capcom expone 11,7 millones de correos y cambia contraseñas de 196 cuentas
- Fallo en Tailscale SSH permite que un dispositivo comprometido escale a root en servidores accesibles
Fuente: SOC Prime
