Un panel naranja de mantenimiento entra en un servidor plateado

PHP corrige dos fallos críticos RCE y pide actualizar servidores web

Actualizado el 23/10/2026 02:49:19

PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos fallos críticos. Las medidas temporales no eliminan todo el riesgo.

PHP publicó el 21 de octubre de 2026 actualizaciones para CVE-2026-109618 y CVE-2026-109619, que pueden permitir ejecución remota sin autenticación. Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Siga OrangeX.com Security.

Instalaciones que atienden la web

El aviso incluye PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Identifica mod_php como configuración de mayor riesgo, con ataque demostrado antes del código de aplicación.

PHP señala que actualizar es la solución completa; medidas temporales solo reducen rutas concretas. Usuarios de paquetes deben verificar parches del proveedor. Ramas antiguas requieren soporte del proveedor o migración a versión compatible. Más en OrangeX.com News.

OrangeX.com Analysis

Negocios cripto con PHP afectado deben revisar su infraestructura web. El aviso no demuestra una brecha en una plataforma, cartera o cadena determinada. Publicar un parche tampoco confirma que todos lo instalaron. Recursos en OrangeX.com Trust Center.