CVE-2026-109618: Vulnerabilidad de Corrupción de Memoria en PHP

Según Rapid7, el 21 de octubre de 2026, el proyecto PHP anunció lanzamientos de seguridad para dos vulnerabilidades críticas en PHP[3]. Rapid7 reporta que CVE-2026-109618 puede corromper la memoria durante el manejo de falta de memoria (OOM)[3], y que ambas fallas tienen una puntuación CVSSv4 de 9.2[3]. watchTowr reporta que los detalles se filtraron en las redes sociales antes de la fecha de divulgación planeada del 22 de octubre[1]. Según Sansec, Cloudflare reportó ataques tempranos a las 07:43 UTC el 21 de octubre, antes del lanzamiento a las 14:00 UTC.[2]El Grupo PHP, citado por Plesk, dice que considera el riesgo más alto para mod_php, con un exploit demostrado donde una solicitud no autenticada puede desencadenar el ataque antes de que se ejecute cualquier código de aplicación.[4] Sansec dice que el gestor de progreso de carga de PHP puede devolver memoria de trabajador liberada al cliente dentro de una cookie de respuesta PHPSESSID.[2]Rapid7 dice que los exploits de prueba de concepto públicos funcionan solo contra configuraciones particulares, y que "ninguno parece ser ampliamente confiable."[3] Sansec reporta que los exploits públicos no funcionan contra una instalación PHP predeterminada.[2]Según AWS, la actualización inmediata a una versión de PHP parcheada es la única solución completa: 8.5.12, 8.4.27, 8.3.36 u 8.2.35.[5] Rapid7 reporta que PHP ha proporcionado backports de fuente limitados para PHP 7.4, 8.0 y 8.1.[3]Cortex Xpanse de Palo Alto Networks dice que ha encontrado más de 22.6 millones de instancias expuestas potencialmente vulnerables[6]. watchTowr reportó que a partir del 22 de octubre de 2026, CISA no ha añadido ninguno de los dos CVE a su catálogo de Vulnerabilidades Explotadas Conocidas.[1]