CVE-2026-109618
PHP
En qué consiste
PHP puede gestionar mal la memoria cuando se queda sin espacio para guardar datos mientras procesa una solicitud. Durante la limpieza posterior, puede utilizar zonas de memoria que no se han preparado correctamente.
Cómo puede perjudicarte
Un atacante puede ejecutar su propio programa en el servidor a través de la red, sin iniciar sesión ni necesitar que otra persona intervenga. El ataque es técnicamente difícil y requiere condiciones adicionales que no se especifican.
Qué urgencia tiene
Esta vulnerabilidad ya se está utilizando en ataques. Actualice PHP cuanto antes, porque el fallo puede permitir que un atacante ejecute su propio programa en el servidor.
A quién afecta
Están afectadas las versiones PHP 8.2.* anteriores a 8.2.35, PHP 8.3.* anteriores a 8.3.36, PHP 8.4.* anteriores a 8.4.27 y PHP 8.5.* anteriores a 8.5.12.
Qué hacer
Actualice la rama de PHP instalada: 8.2.* a 8.2.35, 8.3.* a 8.3.36, 8.4.* a 8.4.27 o 8.5.* a 8.5.12. Consulte el aviso de PHP Group para conocer las recomendaciones para reducir el riesgo.
Cómo comprobar tu servidor
Consulte la versión de PHP instalada y compárela con las versiones afectadas y corregidas que figuran en el aviso de PHP Group.
Detalles técnicos
- CVE
- CVE-2026-109618
- Publicado
- 21 de octubre de 2026
- CWE
- CWE-416
- CVSS
- 9.2
- CVSS vector
- CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 11,6% de probabilidad de un intento de ataque en los próximos 30 días
- Evidencias de ataques
- ataques observados; código de explotación público disponible; código de explotación público en GitHub; plantilla de Nuclei
CVSS mide la gravedad técnica en una escala de hasta 10. Las condiciones del ataque y la urgencia se explican arriba.
EPSS estima la probabilidad de un intento de explotación en los próximos 30 días, no la probabilidad de que tu servidor resulte comprometido.