PHP ha publicado correcciones para dos vulnerabilidades críticas de ejecución remota de código tras conocerse ataques que las aprovechan. El equipo de seguridad de PHP instó a los usuarios a aplicar los parches lo antes posible.
Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación de gravedad de 9,2/10. Una afecta a la gestión de falta de memoria y la otra es un error de uso de memoria liberada. Las correcciones están incluidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP dijo que las distribuciones de Linux y los proveedores de soporte a largo plazo recibieron los parches con antelación, y recomendó a los usuarios comprobar si hay paquetes actualizados.
Según Reuters, sitios web gubernamentales, sanitarios y educativos de toda Europa cerraron temporalmente después de que la información sobre las vulnerabilidades se filtrara dos días antes de publicarse las correcciones. Dane Knecht, director de tecnología de Cloudflare, dijo que la empresa estaba observando los primeros ataques y actualizando sus medidas de mitigación.
PHP indicó que están en riesgo las instalaciones que atienden solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Calificó el riesgo de más alto en mod_php, citando un exploit demostrado que puede activarse mediante una solicitud no autenticada antes de que se ejecute código de la aplicación.
PHP 8.1 y las versiones anteriores no recibirán correcciones mediante el proceso habitual de publicación. El proyecto dijo que proporcionó adaptaciones mínimas del código fuente para PHP 7.4, PHP 8.0 y PHP 8.1 a quienes compilan desde el código fuente o no tienen acceso a un proveedor de soporte a largo plazo. PHP también describió medidas de mitigación, pero advirtió que no constituyen una solución completa.
Comentarios
0Aún no hay comentarios. Escribe el primero.