PHP — Vulnerabilidad Crítica en el Núcleo Afecta a Múltiples Versiones (CVE-2026-109618, CVE-2026-109619)

Fecha de publicación: 21 de octubre de 2026
Categoría: Vulnerabilidades Críticas (Realtime Trigger)

Introducción

El SANS Internet Storm Center (SANS ISC) ha cambiado su nivel de alerta (infocon) a Amarillo tras el anuncio de una vulnerabilidad crítica que afecta al núcleo (core) del lenguaje PHP. La decisión responde a la alta ubicuidad de PHP en la infraestructura web global, la gravedad esperada del fallo (estimada preliminarmente en un CVSS de 9.4) y la rápida aparición de pruebas de concepto (PoC) junto con reportes de explotación activa en entornos de producción por parte de proveedores de seguridad como Cloudflare.

¿Qué es la Vulnerabilidad en el Núcleo de PHP? (Análisis General)

La falla reside directamente en el procesamiento interno del núcleo de PHP, lo que implica que prácticamente cualquier instalación por defecto de PHP se encuentra expuesta al vector de ataque. Debido a la naturaleza integral del componente afectado, el riesgo abarca desde la ejecución remota de código (RCE) hasta la denegación de servicio (DoS) dependiendo de cómo se procesen las entradas maliciosas.

  • Vector CVSS estimado: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (Puntuación estimada: 9.4 Crítico — Nota: Estimación razonada basada en descripciones preliminares ante la ausencia de registro NVD oficial al momento del análisis).
  • Clasificación CWE estimada: CWE-20 (Improper Input Validation) y CWE-400 (Uncontrolled Resource Consumption).

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación identificado en los análisis preliminares y en las pruebas de concepto públicas involucra peticiones HTTP del tipo POST acompañadas de cargas útiles (payloads) con formato multipart/form-data, las cuales se utilizan habitualmente para la subida de archivos o envío de formularios complejos.

  • Flujo inicial de entrada del exploit: El disparador de la vulnerabilidad se activa mediante el envío de solicitudes que contienen nombres de archivo anormalmente grandes (de varios megabytes) combinados con parámetros específicos del núcleo, como el manejo de progreso de subidas de sesiones (PHP_SESSION_UPLOAD_PROGRESS).
  • Mecanismo de fallo y procesamiento: Al analizar nombres de archivos masivos o estructuras multipart anómalas dentro del motor de análisis de PHP, se produce una condición anómala en la gestión de memoria o en la validación de la entrada, permitiendo corromper el flujo de ejecución del intérprete.
  • Estado de los exploits: Las PoCs públicas analizadas actualmente (como la documentada en fuentes de terceros) muestran un comportamiento inestable o incompleto, pero proporcionan suficientes indicadores sobre los patrones de tráfico malicioso necesarios para construir firmas de detección defensiva.

Sistemas / Entornos Afectados

El impacto de esta incidencia abarca un espectro muy amplio del ecosistema de desarrollo web:

  • Versiones afectadas: Prácticamente todas las versiones de PHP a partir de la rama 5, incluyendo las iteraciones más recientes de las ramas 8.x.
  • Versiones con soporte de parches: La comunidad de desarrollo de PHP ha previsto el lanzamiento de actualizaciones de seguridad exclusivamente para la rama PHP 8. Las versiones anteriores se encuentran fuera de soporte oficial (End-of-Life), por lo que no recibirán correcciones directas por parte del proveedor.
  • Distribuciones Linux: Proveedores como Ubuntu han anunciado planes para liberar parches retrocompatibles (backports) para las versiones de PHP incluidas en sus lanzamientos con soporte activo (LTS).
CVE Categoría (CWE Estimada) Impacto CVSS Estimado Vector (Resumido)
CVE-2026-109618 CWE-20 (Improper Input Validation) Ejecución de Código / Manipulación de Memoria 9.4 (Crítico) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-109619 CWE-400 (Resource Consumption) Denegación de Servicio / Agotamiento 7.5 (Alto) AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Mitigación y Detección

Remediación

  • Actualización prioritaria: Aplique los parches oficiales publicados por PHP.net tan pronto como estén disponibles para su rama soportada (PHP 8). En sistemas operativos administrados, manténgase atento a los repositorios oficiales de su distribución.
  • Mitigación temporal de configuración: Como medida de contingencia previa a la aplicación del parche, se recomienda deshabilitar el seguimiento de progreso de sesiones en el archivo php.ini:
    ini 
    session.upload_progress.enabled = Off
    (Nota: Por defecto, esta directiva se encuentra configurada como On).
  • Restricción de tamaño: Limite el tamaño máximo permitido para las solicitudes HTTP en su servidor web (Nginx, Apache) y en las directivas de PHP (post_max_size y upload_max_filesize) para dificultar la recepción de payloads masivos.

Detección

Los equipos de seguridad deben monitorear activamente los registros de acceso web en busca de peticiones POST con cabeceras multipart/form-data inusualmente grandes, especialmente aquellas dirigidas a endpoints que procesan sesiones o subidas de archivos con nombres de parámetros manipulados.

Advertencia de Operación Defensiva: La presencia de peticiones POST con cuerpos de varios megabytes y nombres de archivos excesivamente largos en los registros de acceso web constituye un fuerte indicador de compromiso (IoC) de intentos de explotación contra esta vulnerabilidad en el núcleo de PHP.

Recapitulando

La vulnerabilidad crítica descubierta en el núcleo de PHP representa un riesgo significativo para la infraestructura web global debido a la omnipresencia del lenguaje y a la disponibilidad temprana de exploits funcionales. Aunque los desarrolladores han priorizado el soporte para la rama PHP 8, la gran cantidad de aplicaciones heredadas corriendo sobre versiones sin soporte exigirá a los administradores de sistemas implementar mitigaciones rigurosas de configuración y estrategias de filtrado perimetral a través de WAFs.

Referencias