El pasado 21 de octubre de 2026, el proyecto PHP publicó parches para dos vulnerabilidades críticas que permiten ejecución remota de código (RCE) sin autenticación. Se han reportado explotaciones activas. En nuestros servidores ya hemos completado la actualización a las versiones corregidas y verificado que todo funciona con normalidad.
Si tienes un sitio alojado con nosotros, no tienes que hacer nada: la actualización ya está aplicada en todos nuestros servidores.
Qué ha pasado
El equipo de PHP corrigió dos fallos graves:
Ambas afectan a cualquier instalación de PHP que atienda peticiones web (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP, LiteSpeed). El riesgo es especialmente alto en configuraciones con mod_php.
Lo más importante: no se requiere autenticación para explotarlas, y ya hay explotación activa documentada, por lo que la ventana de exposición era corta y la actualización, urgente.
Qué hemos hecho
En cuanto se publicaron los parches, actualizamos PHP en todos nuestros servidores a las versiones corregidas:
Tras la actualización, verificamos que todos los servicios funcionan con normalidad y que las versiones realmente en uso son las parcheadas.
El resultado: todos los servidores están en versiones parcheadas y los servicios funcionan con normalidad.
Qué significa para ti
Conclusión
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 son de máxima gravedad y con explotación activa. La única corrección completa es actualizar PHP, y en nuestros servidores ya está hecho y verificado. Seguimos monitorizando la situación y aplicaremos los parches que el proyecto PHP publique en el futuro con la misma urgencia.
Si tienes cualquier duda sobre el estado de tu sitio o quieres que revisemos algo en concreto, escríbenos a través de los canales habituales de soporte.