PHP ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades críticas que podrían permitir la ejecución remota de código. El equipo del lenguaje recomienda instalar los parches cuanto antes, después de que investigadores y Cloudflare informaran de intentos de explotación antes de que las correcciones estuvieran disponibles.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación de gravedad de 9,2 sobre 10. El primero está relacionado con la gestión de errores por falta de memoria; el segundo, con un problema de uso de memoria después de su liberación (*use-after-free*).
Las correcciones están disponibles en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quienes utilicen paquetes proporcionados por una distribución de Linux o un proveedor de soporte a largo plazo deben consultar sus canales oficiales para comprobar cuándo está disponible la actualización. También se publicaron parches mínimos para PHP 7.4, 8.0 y 8.1 dirigidos a quienes compilan esas versiones desde el código fuente o no tienen acceso a un proveedor de soporte.
## Un riesgo para sitios y aplicaciones web
PHP está presente en una gran cantidad de sitios y aplicaciones web, por lo que estas vulnerabilidades pueden tener un alcance considerable. Según el aviso del equipo de PHP, pueden verse afectadas las instalaciones que atienden solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo considera especialmente elevado el riesgo para mod_php: se ha demostrado que una solicitud no autenticada puede activar el ataque antes de que se ejecute el código de la aplicación.
La divulgación de información sobre los fallos antes de la publicación de los parches aumentó la preocupación de los administradores. Según informaciones de prensa, algunos organismos gubernamentales y entidades de los sectores sanitario y educativo en Europa desconectaron temporalmente sus sitios como medida preventiva.
El impacto potencial también alcanza a instalaciones antiguas. Se estima que millones de servidores PHP están expuestos a internet, y numerosas organizaciones aún utilizan versiones que ya no reciben mantenimiento. PHP 8.1 y las versiones anteriores no recibirán correcciones oficiales para estos fallos, por lo que mantenerlas en producción implica un riesgo mayor.
## Qué deben hacer los administradores
La medida prioritaria es actualizar a una versión corregida o instalar el paquete de seguridad publicado por el proveedor correspondiente. Si no es posible aplicar el parche de inmediato, PHP señala algunas medidas para reducir el riesgo, aunque advierte que no sustituyen la actualización.
Para limitar el impacto del fallo relacionado con la memoria, se recomienda configurar límites adecuados de memoria y restringir el tamaño de las solicitudes entrantes, incluidas las cargas de archivos. Los límites de recursos en contenedores también pueden ayudar a evitar que un proceso vulnerable afecte a otros servicios.
Ante la vulnerabilidad de tipo *use-after-free*, los administradores pueden desactivar el seguimiento del progreso de las cargas de sesión. En PHP 8.5, también se recomienda habilitar los rastros de errores fatales. Además, conviene corregir errores de la aplicación que puedan provocar bloqueos o tiempos de espera y revisar configuraciones obsoletas que generen mensajes de error antes de que la aplicación se inicialice por completo.
Estas medidas son paliativas. Dado que ya se han observado intentos de explotación, las organizaciones que dependen de PHP deberían identificar sus versiones instaladas, priorizar los sistemas expuestos a internet y aplicar cuanto antes las actualizaciones disponibles.
from Latest from TechRadar https://ift.tt/I9opwDQ
via IFTTT IA
