CVE-2026-109619
PHP
En qué consiste
PHP puede seguir utilizando memoria después de haberla liberado. Al procesar solicitudes posteriores, esos datos antiguos pueden permitir que un atacante ejecute su propio programa en el servidor.
Cómo puede perjudicarte
Un atacante puede ejecutar su propio programa en el servidor a través de la red, sin iniciar sesión ni necesitar que un usuario intervenga. El ataque es complejo y requiere condiciones concretas; no se especifica cuáles son.
Qué urgencia tiene
Esta vulnerabilidad ya se está utilizando en ataques. Actualiza PHP cuanto antes, ya que el fallo permite que un atacante ejecute su propio programa en el servidor.
A quién afecta
Están afectadas las versiones de PHP 8.2.* anteriores a 8.2.35, 8.3.* anteriores a 8.3.36, 8.4.* anteriores a 8.4.27 y 8.5.* anteriores a 8.5.12.
Qué hacer
Actualiza PHP a la versión corregida de tu rama: 8.2.35 para 8.2.*, 8.3.36 para 8.3.*, 8.4.27 para 8.4.* o 8.5.12 para 8.5.*.
Cómo comprobar tu servidor
Consulta la versión de PHP instalada en la información del software del servidor y compárala con las versiones afectadas y corregidas que figuran en el aviso de PHP Group.
Detalles técnicos
- CVE
- CVE-2026-109619
- Publicado
- 21 de octubre de 2026
- CWE
- CWE-416
- CVSS
- 9.2
- CVSS vector
- CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 6,0% de probabilidad de un intento de ataque en los próximos 30 días
- Evidencias de ataques
- ataques observados; código de explotación público en GitHub; plantilla de Nuclei
CVSS mide la gravedad técnica en una escala de hasta 10. Las condiciones del ataque y la urgencia se explican arriba.
EPSS estima la probabilidad de un intento de explotación en los próximos 30 días, no la probabilidad de que tu servidor resulte comprometido.