Si tenéis cosas en PHP, atentos 👀
🚨 Vulnerabilidades críticas en PHP: qué está pasando y qué hacer
Hoy, 21 de octubre a las 16:00 (hora peninsular), PHP publica una actualización urgente que corrige dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619, CVSS 9,2).
🔎 Qué sabemos
Son fallos de ejecución remota de código: permitirían tomar el control del servidor sin credenciales.
La información se filtró ayer, así que se esperan ataques masivos en cuanto salgan los detalles.
Aún no se conocen las versiones afectadas. Hay que dar por vulnerable cualquier web con PHP (WordPress, WooCommerce, Prestashop…).
⏳ Qué esperamos
Solo recibirán parche las ramas con soporte (PHP 8.2 en adelante).
Las versiones antiguas (7.x, 8.0, 8.1) no tendrán parche oficial. Si tu web va con una de ellas, es momento de migrar.
✅ Qué hemos hecho nosotros
En todos los servidores que operamos, propios y de clientes, ya hemos aplicado una mitigación preventiva: desactivar el progreso de subida de ficheros de PHP, bloqueado para que ningún dominio pueda reactivarlo. El único efecto es que puede dejar de verse la barra de progreso al subir archivos.
Es una medida no oficial, pero consideramos que compensa con creces. En cuanto salgan las versiones corregidas, actualizaremos.
🛠 Si administras tu propio servidor
Crea php.d/99-no-upload-progress.ini con:
session.upload_progress.enabled = Off
Y en el pool de PHP-FPM, para que ningún dominio lo reactive:
php_admin_flag[session.upload_progress.enabled] = off
Reinicia PHP-FPM y actualiza PHP en cuanto esté disponible.
Seguiremos informando...