Una IA de OpenAI ayuda a destapar dos fallos críticos en PHP y millones de webs tienen que actualizar hoy mismo

Si tienes una web montada sobre PHP, tienes que actualizar ya. El equipo que desarrolla el lenguaje publicó el 21 de octubre un aviso de seguridad con dos vulnerabilidades críticas que permiten la ejecución remota de código sin autenticación, es decir, sin que quien ataca necesite credenciales ni haber iniciado sesión en ningún sitio. Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 ya llegan con ambas corregidas. La recomendación oficial es aplicarlas cuanto antes en toda la infraestructura.

El alcance es lo que convierte el aviso en un asunto serio. Los fallos afectan a cualquier instalación que sirva peticiones web, lo que incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y PHP sigue sosteniendo millones de sitios en todo el mundo. El riesgo más alto se concentra en mod_php, porque ahí se ha demostrado un exploit en el que una petición sin autenticar dispara el ataque antes de que llegue a ejecutarse una sola línea del código de la aplicación.

El hallazgo lleva detrás un modelo de OpenAI

Las dos vulnerabilidades tienen que ver con la forma en que PHP gestiona la memoria entre peticiones. La primera, CVE-2026-109618, aparece cuando el sistema se queda sin memoria disponible. Es un fallo que puede interrumpir a PHP mientras los datos internos de la petición están a medio inicializar, de modo que la limpieza posterior acaba tratando como válidos unos datos que no lo son.

La segunda, CVE-2026-109619, parte de un estado interno que pertenece a una petición y que sobrevive después de que su memoria se haya liberado. Una petición atendida más tarde por ese mismo worker puede llegar a usar ese estado caducado antes de que la inicialización normal lo reinicie.

Y es que el origen del descubrimiento también es importante. Según explica el propio aviso, los dos fallos se localizaron con la ayuda de GPT-5.6 Sol. Es el modelo de OpenAI integrado en la iniciativa Patch the Planet, un programa pensado para que los mantenedores de software encuentren, parcheen y prueben vulnerabilidades en su código.

Qué hacer si la actualización no puede ser inmediata

El aviso de PHP es claro. Hay que actualizar para resolver el problema. Ahora bien, si eso no es posible, hay medidas provisionales que reducen la exposición. Para el primer fallo, se recomienda fijar memory_limit=-1 de forma que ninguna aplicación pueda reescribirlo. Por ejemplo, se evita que lo haga con php_admin_value en el pool de FPM o en la configuración de Apache. También bajar post_max_size a 8M si no hay subida de archivos o a 32M si la hay, siempre con upload_max_filesize por debajo.

Para el segundo toca desactivar session.upload_progress.enabled y reiniciar todos los workers, y en PHP 8.5 poner además fatal_error_backtraces a 0.

Queda el apartado de las versiones antiguas, que es donde más gente se va a atascar. Las distribuciones de Linux y los proveedores LTS recibieron los parches por adelantado, así que lo primero es comprobar si el tuyo ya tiene paquetes listos.

PHP 8.1 y anteriores no reciben soporte del proyecto, aunque, por la gravedad del caso, el equipo de seguridad ha preparado backports mínimos de código fuente para 7.4, 8.0 y 8.1, pensando en quien compila por su cuenta. Y si dependes del repositorio rpms.remirepo.net, mantenido por voluntarios, el aviso pide pasarse a los paquetes de la distribución o compilar desde el código, ya que ese repositorio no va a tener actualizaciones.

Te interesa 👉 Los mejores NAS que puedes comprar

De momento, el comunicado no habla de ataques en curso, sino de un exploit demostrado sobre mod_php, y remite a los dos avisos técnicos publicados junto a los parches para quien quiera el detalle completo de cada vulnerabilidad.