Today's PHP Security Release, and How We're Strengthening PHP Security
Simon Willison · 21 oct, 20:41
Qué hacer: Actualiza PHP 8.x a la versión de seguridad lanzada el 21 de octubre de 2026 inmediatamente.
El proyecto PHP ha lanzado hoy actualizaciones de seguridad críticas para toda la línea PHP 8.x que cierran dos agujeros de RCE (ejecución remota de código). Tras un fallo en el proceso de divulgación coordinada, los identificadores CVE circularon prematuramente en foros y redes sociales desde anoche, lo que provocó que una empresa de seguridad publicara un vídeo con prueba de concepto funcional; posteriormente han circulado múltiples PoCs de explotación. Es vital actualizar inmediatamente cualquier servidor que ejecute PHP.
Los dos CVEs afectan a toda la línea PHP 8.x y permiten ejecución remota de código sin autenticación, confirmado contra Drupal y WordPress. El CVE score real es 9,2 (inicialmente se difundió erróneamente como 10,0). La vulnerabilidad fue descubierta por Wiz Research el 19 de agosto de 2026 y reportada al equipo de seguridad de PHP el 24 de agosto; el proyecto comenzó el desarrollo coordinado en septiembre. Sin embargo, el 20 de octubre circularon prematuramente los identificadores CVE con información incorrecta, lo que llevó a la pre-anunciación acelerada a las 19:30 UTC y al adelanto de la publicación del parche de octubre 22 a octubre 21. Un vídeo de prueba de concepto publicado por error mostró la vulnerabilidad funcionando contra múltiples objetivos, acelerando significativamente el desarrollo de exploits públicos.
Puntos clave
- Dos RCEs sin autenticación en toda la línea PHP 8.x
- CVSS 9,2; explotación activa en circulación desde octubre 21
- Confirmadas contra Drupal y WordPress
- Actualización disponible hoy, octubre 21, 2026
- Fallo en divulgación coordinada: CVE filtrado 48 horas antes de lo previsto