Aviso de seguridad: vulnerabilidades críticas en PHP

Publicado: 21 de octubre de 2026

Estado: corregido en nuestros servidores. Operamos con normalidad.

Resumen

El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas. En ciertas condiciones, permiten que un atacante ejecute código en un servidor web sin necesidad de usuario ni contraseña. Ya se están explotando activamente en internet, y se conocen públicamente con el nombre "php2shell".

En Soluciones Marva aplicamos las versiones corregidas de PHP ese mismo día en nuestros servidores. Hoy operamos de forma segura y con normalidad, sin cortes en los sitios y sistemas de nuestros clientes.

¿Qué es PHP y por qué importa?

PHP es el lenguaje con el que funcionan la mayoría de los sitios web dinámicos: WordPress, WooCommerce, tiendas en línea, sistemas de reservas, formularios y muchas aplicaciones a la medida. Cada vez que alguien visita una de esas páginas, PHP procesa la petición en el servidor. Por eso, una falla en PHP puede afectar a casi cualquier sitio, aunque el sitio en sí no tenga ningún error.

Detalle de las vulnerabilidades

1) CVE-2026-109618 (aviso del proyecto PHP GHSA-w8hw-w9fx-j79w)

  • Nombre: ejecución remota de código por corrupción de memoria al agotarse la memoria (OOM).
  • Severidad: CRÍTICA, puntuación CVSS 9.2 de 10 (CVSS v4.0).
  • En qué consiste: cuando una petición agota la memoria que PHP tiene permitida en un momento muy específico, PHP puede dejar datos internos a medio preparar y después tratarlos como válidos. Eso corrompe la memoria del proceso y, con peticiones preparadas a propósito, puede terminar en la ejecución de código ajeno.
  • Requiere iniciar sesión: no.
  • Requiere que alguien haga clic o abra algo: no.

2) CVE-2026-109619 (aviso del proyecto PHP GHSA-6wmf-4rv5-p3rp)

  • Nombre: ejecución remota de código por estado interno que sobrevive entre peticiones.
  • Severidad: CRÍTICA, puntuación CVSS 9.2 de 10 (CVSS v4.0).
  • Clasificación: uso de memoria ya liberada (CWE-416, "use after free"), entre otras debilidades relacionadas con el manejo de errores.
  • En qué consiste: si una petición termina de golpe por un error grave, PHP puede conservar referencias internas a memoria que ya no le pertenece. Una petición posterior atendida por el mismo proceso puede llegar a usar esa memoria, lo que permite filtrar información o ejecutar código.
  • Requiere iniciar sesión: no.
  • Requiere que alguien haga clic o abra algo: no.

Las dos fallas están en partes de PHP que intervienen en casi todas las visitas a un sitio (el manejo de memoria y de errores), por eso su alcance es tan amplio. El proyecto PHP indica que no existe ninguna configuración que las mitigue por completo: la única solución confiable es actualizar.

Impacto posible en un servidor sin actualizar

Un atacante podría ejecutar instrucciones con los permisos del sitio web afectado: modificar o borrar archivos, insertar código malicioso o páginas falsas, robar información de la base de datos o usar el sitio para atacar a otros.

Versiones afectadas y corregidas

  • PHP 8.5: afectadas las anteriores a 8.5.12. Corregida: 8.5.12.
  • PHP 8.4: afectadas las anteriores a 8.4.27. Corregida: 8.4.27.
  • PHP 8.3: afectadas las anteriores a 8.3.36. Corregida: 8.3.36.
  • PHP 8.2: afectadas las anteriores a 8.2.35. Corregida: 8.2.35.
  • PHP 8.1 y anteriores: ya no reciben actualizaciones del proyecto PHP porque están fuera de soporte.

Lo que hicimos en Soluciones Marva

  • El mismo 21 de octubre actualizamos PHP a las versiones corregidas (8.2.35, 8.3.36, 8.4.27 y 8.5.12) en los servidores donde operan los sitios web y sistemas que desarrollamos y administramos para nuestros clientes, en el servidor de nuestro sitio y portal de clientes, en los servidores de hosting de HostMarva y en nuestro servidor de correo.
  • Reiniciamos los servicios de PHP para que todos los procesos usen la versión corregida, y comprobamos que los sitios siguieran funcionando con normalidad.
  • Estamos realizando una revisión preventiva de nuestros servidores en busca de cualquier actividad inusual.
  • Activamos la instalación automática de los parches de seguridad de PHP en nuestros servidores, para que futuras correcciones se apliquen lo antes posible.

Para proteger la seguridad de nuestra infraestructura y de nuestros clientes, no publicamos detalles técnicos internos de nuestros servidores ni de cómo se aplicaron las medidas.

¿Tienes que hacer algo?

No. En Soluciones Marva administramos tu hosting por ti: ya aplicamos la corrección y nos encargamos de mantener actualizados el servidor, las versiones de PHP (incluidas las anteriores, con sus parches de seguridad), tu WordPress, plugins, temas y aplicaciones, además de vigilar tu sitio. No tienes que cambiar nada.

Si notas algo extraño en tu sitio (páginas que no reconoces, redirecciones o lentitud inusual), contáctanos y lo revisamos de inmediato.

Si tienes acceso a tu panel de control

Si solicitaste acceso a tu panel y haces cambios por tu cuenta, te recomendamos:

  1. Elegir PHP 8.3 o superior cuando tu sitio lo permita. Si necesitas una versión anterior, la mantenemos parchada, pero escríbenos antes de cambiarla.
  2. Mantener actualizados WordPress, plugins, temas y cualquier aplicación que instales tú.
  3. Usar contraseñas seguras y distintas para tu panel, tu sitio y tu correo.
  4. Avisarnos antes de instalar algo nuevo o si notas algo extraño.

Seguiremos informando

Seguimos monitoreando el tema de cerca. Si surge cualquier novedad que afecte a nuestros servicios, la publicaremos aquí y te avisaremos por los medios de contacto de tu cuenta.

Si tienes dudas, contáctanos y con gusto te atendemos.

Referencias públicas

Equipo Soluciones Marva