El equipo de seguridad de PHP planea publicar actualizaciones de emergencia el miércoles 21 de octubre a las 14:00 UTC (10:00 a. m., hora del Este) para corregir dos vulnerabilidades. El equipo asignó a cada una una puntuación de 9,2 según CVSS v4.0 y pidió a los administradores que instalen las actualizaciones en cuanto estén disponibles.
El equipo aún no ha revelado qué versiones de PHP están afectadas, cómo pueden explotarse las vulnerabilidades ni qué versiones incluirán las correcciones. Afirma que podría publicar las actualizaciones antes si los detalles se hacen públicos o aparecen pruebas de explotación activa.
Investigadores de seguridad de watchTowr dijeron a BleepingComputer que las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código de forma remota y se cree que afectan a las versiones 5, 6, 7 y 8 de PHP. watchTowr afirmó que cree haber reproducido CVE-2026-109618, pero no divulgará detalles técnicos hasta que haya parches disponibles. Los investigadores dijeron que no habían observado explotación en entornos reales.
Esas afirmaciones difieren del anuncio oficial de PHP. watchTowr describió ambas vulnerabilidades con una puntuación CVSS 10 y dijo que la divulgación estaba prevista inicialmente para el jueves a las 11:00 ET. Una publicación ya eliminada de Hacker News también afirmó que las vulnerabilidades tenían una puntuación de 10,0 y se divulgarían el 22 de octubre. El equipo de PHP asignó a cada una 9,2 según CVSS v4.0 y programó las actualizaciones para el 21 de octubre. Afirma que publicará los detalles técnicos, las versiones afectadas y las versiones corregidas cuando estén disponibles las actualizaciones.
Comentarios
0Aún no hay comentarios. Escribe el primero.