Hoy temprano, el proyecto PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Estas versiones corrigen dos vulnerabilidades críticas que, en las condiciones adecuadas, permiten a un atacante no autenticado ejecutar código en servidores que ejecutan PHP. Se insta a todos los que usan PHP a actualizar de inmediato. El anuncio oficial en php.net contiene los detalles técnicos y las instrucciones de actualización.
La primera falla, CVE-2026-109618, involucra condiciones de falta de memoria (OOM). Si una solicitud alcanza el memory_limit de PHP justo en el momento equivocado, PHP puede dejar datos internos parcialmente inicializados que luego se tratan como válidos, corrompiendo la memoria. En Apache con mod_php, una solicitud no autenticada puede desencadenar esto antes de que se ejecute cualquier código de la aplicación, y se demostró la ejecución remota completa de código con la configuración predeterminada. La segunda, CVE-2026-109619, es un problema de estado obsoleto: un error fatal puede dejar el estado interno apuntando a memoria de una solicitud anterior, lo que permite un use-after-free que se demostró contra una aplicación del mundo real.
Ambos problemas se encuentran en áreas centrales de PHP que casi todas las solicitudes utilizan: la gestión de memoria y el manejo de errores. Ese papel central los hizo graves y, a la vez, difíciles de corregir sin romper la compatibilidad, afectar el rendimiento o forzar cambios en el amplio ecosistema de extensiones de terceros.
El problema de OOM se detectó por primera vez durante una auditoría de seguridad externa de 2024, financiada por la PHP Foundation y realizada por Quarkslab. La corrección se estancó durante meses mientras el equipo de seguridad sopesaba enfoques competidores, cada uno con sus compensaciones. El equipo reconoce que el retraso fue un fallo estructural, y está cambiando su proceso de decisión, incluida la votación por mayoría. En mayo de 2026, la PHP Foundation también creó un Equipo de Seguridad del Ecosistema para apoyar la clasificación, la coordinación y el endurecimiento.
Fuente: Hacker News · Resumido por HeadlinesBriefing