Una nueva actualización de seguridad de PHP merece atención inmediata por parte de empresas, desarrolladores y responsables de sitios web. El equipo de PHP ha anunciado correcciones para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código sin autenticación en determinadas condiciones. En la práctica, un fallo de este tipo puede abrir la puerta a que un atacante ejecute acciones en el servidor sin disponer de una cuenta válida.
Qué se ha corregido
Las correcciones se han distribuido en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según el comunicado oficial, los dos problemas están relacionados con el tratamiento interno de datos y memoria durante el procesamiento de solicitudes. Uno de ellos puede activarse cuando un fallo de asignación de memoria interrumpe la inicialización de datos de la solicitud; el otro implica un estado interno que puede seguir disponible después de que la memoria asociada haya sido liberada.
El resultado potencial es grave: un proceso PHP expuesto puede quedar susceptible a la ejecución remota de código. La recomendación del proyecto es clara: actualizar es la única solución completa. Las medidas temporales pueden reducir vías específicas de exposición, pero no convierten una instalación vulnerable en segura.
Por qué es tan importante actualizar PHP
PHP está presente en aplicaciones web, tiendas online, paneles de administración y sistemas desarrollados a medida. Cuando el intérprete está desactualizado, la aplicación puede seguir funcionando con normalidad mientras permanece sin las correcciones ya disponibles por parte de la comunidad. Esto aumenta el riesgo operativo, especialmente en entornos conectados a internet.
Mantener PHP en una versión que todavía recibe actualizaciones de seguridad es, por lo tanto, de suma importancia. El ciclo oficial establece que cada rama recibe soporte activo inicialmente y, después, un período adicional destinado a correcciones críticas de seguridad. Al final de ese ciclo, la versión llega a su fin de vida y deja de recibir parches. En esa situación, las nuevas vulnerabilidades pueden quedar sin corrección oficial.
Qué versiones requieren atención
En la fecha de esta publicación, las ramas 8.2, 8.3, 8.4 y 8.5 figuran como compatibles según el proyecto PHP, con calendarios distintos. Está previsto que la rama 8.2 finalice el soporte de seguridad el 31 de diciembre de 2026; las ramas 8.3, 8.4 y 8.5 tienen plazos posteriores. Esto no significa que cualquier versión dentro de una rama esté protegida: es necesario instalar la versión de mantenimiento que incluye las correcciones o confirmar con el proveedor del sistema operativo si este aplica parches retroportados.
Los clientes que usan PHP 7.4, 8.0 u 8.1 deben tratar la migración como una prioridad. Estas ramas ya no forman parte del soporte regular. El proyecto ha publicado retroportaciones mínimas para este caso concreto, pero están pensadas para quienes compilan a partir del código fuente y no sustituyen un plan de actualización hacia una versión compatible.
Cómo actuar con seguridad
El primer paso es identificar la versión realmente utilizada en producción, no solo la versión configurada en el panel. A continuación, valida la compatibilidad del sitio en un entorno de pruebas y programa la actualización a la versión corregida. Haz una copia de seguridad, revisa extensiones, temas, frameworks e integraciones, y supervisa los registros tras el cambio.
Para servicios gestionados, conviene abrir una solicitud al proveedor y confirmar qué versión está activa y cuál es la política de aplicación de parches. Una rutina de inventario, pruebas y actualización reduce el tiempo de exposición y evita que la seguridad dependa de intervenciones de emergencia.
Conclusión
Actualizar PHP no es solo mantenimiento técnico: es una medida de protección para el negocio, los datos y la disponibilidad del sitio web. Ante las vulnerabilidades críticas corregidas, la recomendación es revisar los entornos ahora y mantener cada aplicación en una versión que reciba actualizaciones de seguridad.
Fuente consultada: https://www.php.net/releases/8_4_27.php