Los builders fluidos de Rule se llevaron los titulares, pero lo primero que yo tocaría de Laravel 13.36 es Worker::$flushStickyConnections. Viene desactivado por defecto para no romper las apps que dependen del comportam…
Laravel 13.38 trae PreventStaleDatabaseReads, un middleware que fija las lecturas de un usuario al primario durante dos segundos después de una escritura. Es práctico y merece la pena activarlo. Pero la herramienta más h…
Todo el mundo habla del modelo que encontró CVE-2026-109618 y CVE-2026-109619. El dato incómodo es otro: según Cisco, cerca de la mitad del PHP expuesto a internet corre en versiones que ya no reciben parches de segurida…
Los exploits de php2shell no dejan nada en tus logs. Solo ves lo que hace el atacante después, así que la detección depende de que www-data casi nunca haga nada interesante. Eso es una decisión de diseño que podemos toma…
Los parches de PHP2Shell salieron el 21 de octubre y muchos equipos todavía no saben decir qué binario de PHP respondió su última petición. Kai defiende que el intérprete es tu dependencia más importante y merece el mism…
Cuando llegó PHP2Shell, el proyecto PHP publicó parches de código fuente de emergencia para 7.4, 8.0 y 8.1, ramas que ya había retirado. Agradécelo y luego interpreta bien el gesto. Tu próximo CVE crítico se decidirá por…
El proyecto PHP anunció por adelantado los parches críticos para CVE-2026-109618 y CVE-2026-109619, dio fecha y hora UTC y se guardó los detalles. Era un trato justo. El problema es que muchos equipos pasaron la espera l…
Dos fallos críticos del núcleo de PHP, CVE-2026-109618 y CVE-2026-109619, solo recibieron parches para las ramas 8.2 a 8.5. Eso deja a quienes siguen en 7.4, 8.0 y 8.1 endureciendo ficheros de configuración contra un fal…
El 21 de octubre nos dejó en la misma tarde un bypass del token guard de Laravel y dos fallos de PHP con CVSS 9.2. Ocho días después, los equipos que parchearon rápido no se preocupaban más que nadie: tenían una suite de…
El parche para el fallo de memoria de session.upload_progress estaba previsto para el 21 de octubre, y la mayoría de los equipos actualizarán y se olvidarán del tema. Ese es el final equivocado. Una opción por defecto qu…
Dos fallos con CVSS 9.2 en el motor de PHP, corregidos en 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y sin ninguna mitigación completa. Actualizar lleva minutos. Lo que de verdad le falta a la mayoría de los equipos es una lista f…
El 21 de octubre aparecieron dos fallos de ejecución remota de código sin autenticación en el runtime de PHP, CVE-2026-109618 y CVE-2026-109619, y de repente muchos equipos no sabían responder rápido a una pregunta senci…
El 21 de octubre llegaron dos fallos de PHP con puntuación 9.2, y las versiones corregidas son fáciles de nombrar. Lo difícil es demostrar qué binario está respondiendo ahora mismo en cada vhost, cada servidor de staging…
Laravel 13.38.0 dirige las lecturas a la conexión de escritura durante dos segundos después de una modificación y añade DB::usingWritePdo() para consultas de relaciones que necesitan datos recientes. Rule::unique() admit…
Un artículo de Medium publicado en octubre atribuye a Wiz y al modelo GPT-5.6 Sol de OpenAI dos supuestas vulnerabilidades críticas de PHP, CVE-2026–109618 y CVE-2026–109619. Afirma que tienen una gravedad de 9,2, permit…
OpenAI ha publicado para Codex una herramienta que comprueba si una web muestra públicamente una versión de PHP incluida en el rango afectado. La skill phpcheck-url funciona con una URL. phpcheck-server revisa la instala…
PHP corrigió el 21 de octubre de 2026 CVE-2026-109618 y CVE-2026-109619, dos fallos críticos de ejecución remota de código sin autenticación, con una puntuación CVSS de 9.2. Una configuración comunitaria de Wazuh supervi…
Kevin Lopez plantea dos cuestiones semánticas sobre el borrador del RFC de PHP para pattern matching. Los patrones de arrays deberían distinguir una clave ausente de un null explícito mediante array_key_exists(). Los pat…
OpenAI, Google y otros laboratorios de IA emplean modelos avanzados para localizar vulnerabilidades en PHP, preparar exploits y comprobar las correcciones propuestas. La crisis actual afecta a fallos estructurales que pu…
Una publicación de Reddit se presenta como una respuesta desde el equipo de seguridad de PHP a las afirmaciones que circulan sobre PHP2Shell. El fragmento disponible no identifica las declaraciones cuestionadas ni las ve…
El análisis de OffSeq examina la actividad de PHP2Shell durante las primeras 48 horas registradas por su flota de honeypots Mirage. La empresa afirma que PHP2Shell se filtró antes de que hubiera un parche disponible. La …
Los builds actualizados de setup-php incorporan correcciones para CVE-2026-109618 y CVE-2026-109619 en PHP 5.3 a 8.7. Están disponibles para Linux, macOS y Windows, con backports de seguridad para ramas de PHP fuera de s…
Petecooper se disculpó en Hacker News por una publicación anterior sobre las próximas divulgaciones de RCE de PHP asociadas a CVE-2026-109618 y CVE-2026-109619. Según explica, desconocía que existiera un embargo porque d…
Nuevos datos sobre PHP2Shell identifican CVE-2026-109618 y CVE-2026-109619 como fallos críticos del intérprete PHP, con una puntuación de 9,2 según el equipo de PHP. Los parches previstos solo cubren de 8.2 a 8.5. PHP 8.…
Dos fallos del motor con una puntuación de 9.2, corregidos en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, afectaron a servidores cuyo código de aplicación estaba impecable. Kai sostiene que la solución es cultural: los equipos …
Este artículo de Medium no añade detalles técnicos a las vulnerabilidades de PHP ya cubiertas. Recomienda comprobar el runtime que sirve realmente el sitio, incluida la configuración de PHP-FPM o Apache, y pedir al prove…
Composer 2.11.0-RC1 ya puede probarse antes de la versión estable. Esta versión preliminar elimina el fallback temporal a source e incorpora una espera configurable para paquetes recién publicados. Refuerza la validación…
Un artículo de Elias Taylor, fechado el 21 de octubre de 2026, sostiene que la vulnerabilidad de PHP analizada recientemente no tiene un exploit fiable contra una instalación de PHP sin modificar. Taylor afirma que miles…
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen CVE-2026-109618 y CVE-2026-109619. Los fallos afectan a las interfaces PHP expuestas a la web y pueden permitir ejecución remota de código sin autenticación. PHP considera que…
