El 22 de octubre de 2026, Heraldo Binario reportó dos vulnerabilidades críticas en PHP, con una calificación CVSS de 9.2 sobre 10. Según el medio, permitirían ejecutar código a distancia mediante peticiones HTTP preparadas para el ataque, sin usuario, contraseña ni formularios vulnerables.

🧠 El reporte describe dos problemas de memoria: uno al procesar datos incompletos después de agotar la memoria disponible y otro al reutilizar un estado interno residual entre peticiones atendidas por un mismo proceso. Los identifica como CVE-2026-109618 y CVE-2026-10-9619, respectivamente; ambos identificadores necesitan corroboración en avisos oficiales antes de usarse como referencia técnica.

🔒 Heraldo Binario señala que PHP ya publicó correcciones en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Sin embargo, la nota no enlaza avisos oficiales que permitan corroborar esos números ni precisar las versiones afectadas: no conviene dar por vulnerable cualquier instalación únicamente por su antigüedad.

💻 Para identificar tu instalación, el medio propone ejecutar php -v en la terminal o consultar la información de phpinfo(). En WordPress puedes revisar Herramientas → Salud del sitio → Información → Servidor; si usas hospedaje compartido, consulta cPanel, Plesk o al soporte de tu proveedor para conocer la versión activa.

🛠️ El procedimiento descrito incluye actualizar los paquetes correspondientes al sistema operativo y reiniciar el servicio web o el gestor de procesos, como PHP-FPM, para no dejar la versión anterior cargada en memoria. Para instalaciones con Docker, también señala la necesidad de reconstruir las imágenes y volver a desplegar los contenedores con la versión corregida.

¿Por qué importa si administras un sitio?

PHP está detrás de proyectos que usan WordPress, Laravel, Drupal y PrestaShop: la revisión no termina en actualizar un plugin o una aplicación. El reporte plantea un WAF, como los de Cloudflare o los cortafuegos perimetrales, y ajustes de configuración como contención temporal, no como sustitutos del parche; tampoco especifica qué parámetros modificar.

💬 ¿Tienes identificada la versión de PHP que usa tu sitio y quién se encarga de actualizarla: tú, tu equipo o el proveedor de hospedaje?

¿Pero deveras? 🌵💚