El equipo de seguridad de PHP ha programado una publicación para el 21 de octubre de 2026 a las 14:00 UTC. La actualización debe corregir dos vulnerabilidades críticas, cada una con una puntuación CVSS v4.0 de 9,2 sobre 10. El aviso de seguridad 2026-018 de CERT-EU identifica CVE-2026-109618 y CVE-2026-109619 y señala una posible ejecución remota de código.

Cuando se elaboró esta alerta, PHP todavía no había publicado los detalles técnicos ni las versiones afectadas y corregidas. La advertencia está confirmada, pero aún no se conoce la exposición concreta de cada instalación. La ejecución remota de código puede permitir que un atacante haga que un servidor ejecute código. Según el fallo y los permisos del proceso afectado, podría acceder a datos de la aplicación, obtener credenciales o modificar archivos del sitio web. Son consecuencias posibles de este tipo de vulnerabilidad, no resultados confirmados para todas las aplicaciones PHP.

CERT-EU recomienda localizar las aplicaciones PHP y preparar la instalación de las correcciones en cuanto estén disponibles. Si no es posible remediar el problema de inmediato, las organizaciones deberían valorar el aislamiento de las aplicaciones expuestas a Internet respecto de las redes públicas hasta aplicar un parche. El aviso no ordena apagar todos los servidores de forma generalizada.

El primer paso operativo consiste en determinar quién puede actualizar PHP en producción. El equipo de desarrollo, el personal de servidores y el proveedor de hosting pueden controlar partes distintas del entorno. Los sitios de distintos clientes también pueden seguir procedimientos diferentes. El inventario debe incluir sitios públicos, API, herramientas de administración y proyectos antiguos. Hay que registrar el entorno, la versión de PHP desplegada y la persona responsable de las actualizaciones. Conviene comprobar el runtime que atiende las peticiones web, porque la versión mostrada por la línea de comandos puede corresponder a otra instalación.

Antes del despliegue, hay que confirmar que existen copias de seguridad y un plan de recuperación. Cada entorno debe tener un método de actualización definido y comprobaciones preparadas para las funciones esenciales. Cuando PHP publique el aviso, compare las versiones y configuraciones instaladas con las afectadas. Use las versiones corregidas indicadas por PHP, por el proveedor del sistema operativo o por el proveedor de hosting. Las publicaciones en redes sociales no sirven para determinar por sí solas una versión segura.

Después de actualizar, verifique que la aplicación utiliza el runtime parcheado. Pruebe la autenticación y las peticiones API importantes. Compruebe también las subidas de archivos, las operaciones de base de datos y los procesos en segundo plano cuando correspondan. Registre qué entornos ya están actualizados y cuáles siguen pendientes.

Esta información se preparó el 21 de octubre de 2026 con los avisos disponibles antes de la publicación programada. Las fuentes son el anuncio de PHP sobre la próxima actualización crítica y el Security Advisory 2026-018 de CERT-EU.