El proyecto PHP ha puesto a disposición la versión PHP 8.4.27 como parte de una entrega urgente de seguridad. La actualización corrige dos vulnerabilidades críticas que, según el aviso oficial, pueden permitir la ejecución remota de código por parte de un atacante no autenticado.
Qué cambia y a quién afecta
Las fallas corregidas (referenciadas en los avisos de seguridad como CVE-2026-109618 y CVE-2026-109619) afectan a instalaciones de PHP que atienden peticiones web. Esto incluye despliegues comunes como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y servidores web que integran PHP, por ejemplo LiteSpeed.
El riesgo se considera especialmente elevado para instalaciones que usan mod_php: el equipo de seguridad de PHP ha documentado un caso donde una petición no autenticada puede desencadenar el vector de ataque antes de que se ejecute cualquier código de la aplicación, facilitando la explotación.
Qué deben hacer los administradores
- Actualizar inmediatamente: según el equipo de PHP, la única solución completa y segura es instalar las versiones parcheadas. Los administradores deben planificar y aplicar la actualización a PHP 8.4.27 lo antes posible.
- Medidas temporales: si no es posible actualizar de forma inmediata, hay mitigaciones parciales que reducen la exposición a rutas de ataque concretas, pero ninguna de ellas deja la instalación completamente segura. El aviso oficial incluye detalles técnicos sobre esas medidas temporales.
- Entornos de producción: no confíe en mitigaciones incompletas como única defensa; priorice la actualización en servidores que atienden tráfico público, especialmente aquellos con mod_php activo.
Descargas y notas técnicas
Los archivos fuente y los binarios para Windows están disponibles en la página de descargas del proyecto PHP. La lista completa de cambios aparece en el ChangeLog y el advisory de seguridad proporciona los detalles técnicos y las versiones afectadas y corregidas.
Contexto adicional
Esta publicación forma parte de una actualización simultánea en varias ramas: el equipo anunció parches equivalentes para PHP 8.5.12, 8.3.36 y 8.2.35, abarcando instalaciones que aún usan esas series. El aviso también recordó que PHP 8.2 llegará a fin de vida el 31 de diciembre de 2026 y que los administradores deben planificar migraciones a ramas soportadas.
Para administradores y responsables de sitios web: prioricen la verificación de paquetes en sus repositorios, los contenedores y las imágenes que utilicen, y coordinen despliegues que incluyan pruebas rápidas tras la actualización para asegurarse de que las aplicaciones funcionan correctamente con la versión parcheada.
Lee también:
- Fedora 45 se retrasa otra semana tras nueva reunión Go/No‑Go
- Pruebas muestran que agentes de IA ignoran WordPress y fallan al usar el adaptador MCP oficial
Fuente: PHP.net news & announcements
