El archivo oficial de seguridad de PHP publicó el 21 de octubre de 2026 un aviso sobre CVE-2026-109618 y CVE-2026-109619. Según el artículo, ambos fallos pueden permitir la ejecución de código sin autenticación. El texto no aporta detalles técnicos nuevos frente al aviso ni frente a las versiones corregidas comunicadas anteriormente.

La recomendación práctica es revisar el runtime de PHP que funciona realmente y su versión, además de los parches instalados y la configuración del servidor. La comprobación debe incluir el entorno que atiende las peticiones web mediante PHP-FPM o Apache, ya que puede ser distinto del PHP disponible en la línea de comandos. Quienes usen ramas antiguas deben consultar los avisos de seguridad de su sistema operativo o de su proveedor. Los administradores de VPS y servidores dedicados deben instalar la actualización correspondiente. En un hosting compartido, el cliente debe pedir confirmación de que se han aplicado las dos correcciones. Si aún no están disponibles, debe preguntar por la fecha prevista o solicitar el traslado a un entorno parcheado.

Las indicaciones se aplican a sitios web y aplicaciones, además de API y servicios backend. Los clientes de WordPress.com deben consultar el aviso de seguridad de la plataforma. En instalaciones de WordPress alojadas por cuenta propia, el responsable debe coordinarse con el proveedor o actualizar el servidor directamente. Actualizar WordPress o añadir un plugin de seguridad no repara PHP. El artículo cita a W3Techs para señalar la amplia presencia de PHP entre los sitios cuyo lenguaje del servidor es conocido y remite al aviso oficial de PHP.