PHP warns admins of two critical flaws, emergency patches coming tomorrow
BleepingComputer · 20 oct, 22:56
El equipo de seguridad de PHP advierte de dos vulnerabilidades críticas de ejecución remota de código (RCE) con CVSS 9.2 que afectan a las versiones 5, 6, 7 y 8. Los parches de emergencia serán lanzados mañana 21 de octubre a las 14:00 UTC, después de que detalles sobre estos flaws zero-day se filtraran antes de la divulgación planeada.
Dos vulnerabilidades RCE en PHP fueron embargadas para divulgación coordinada pero sus detalles se filtraron públicamente en Hacker News antes de la fecha prevista. El equipo de seguridad de PHP aceleró la liberación de parches al 21 de octubre a las 14:00 UTC (originalmente estaba prevista para el 22 de octubre). Los investigadores de watchTowr confirmaron que las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 son reales y afectan a PHP versiones 5, 6, 7 y 8, aunque advirtieron que ambas fueron inicialmente descritas como CVSS 10.0 en la filtración mientras que PHP las calificó con CVSS v4.0 de 9.2.
Aunque los detalles técnicos sobre vectores de explotación no han sido divulgados, watchTowr confirmó haber reproducido exitosamente CVE-2026-109618 pero se abstiene de compartir información técnica hasta que estén disponibles los parches. No se han reportado explotaciones activas en la naturaleza a pesar de la filtración de información. PHP advirtió que podría liberar los parches más temprano si emergen más detalles públicos o evidencia de explotación activa.
Puntos clave
- CVE-2026-109618 y CVE-2026-109619, ambas RCE con CVSS 9.2
- Afecta PHP versiones 5, 6, 7 y 8
- Parches lanzados 21 de octubre 14:00 UTC
- Información filtrada antes de embargo
- Sin explotación activa confirmada aún