CVE-2026-109619: Vulnerabilidad de Estado de Solicitud Interna Obsoleta en PHP

Huntress describe CVE-2026-109619 como un fallo de ejecución remota de código causado por PHP que retiene el estado específico de la solicitud después de que la memoria de respaldo ha sido liberada[2]. Según Huntress, si el mismo worker procesa una solicitud posterior, PHP puede acceder a ese estado obsoleto antes de que la inicialización normal lo restablezca.[2]Rapid7 reporta que ambos fallos tienen una puntuación CVSSv4 de 9.2[3]. Agrega que todas las instalaciones que sirven solicitudes web están en riesgo, incluyendo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed.[3]Según Huntress, los detalles de las dos vulnerabilidades se filtraron en línea antes de su divulgación coordinada y antes de que se lanzaran los parches[2] el 20 de octubre. Huntress dice que el equipo de PHP lanzó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35[2] el 21 de octubre. Google Cloud reporta que el proyecto PHP no está lanzando correcciones para PHP 8.1 o anteriores, que han llegado al fin de vida.[4] Sin embargo, Rapid7 dice que para este incidente, PHP ha proporcionado backports de código fuente limitados para PHP 7.4, 8.0 y 8.1.[3]Rapid7 dice que existen ahora múltiples exploits de prueba de concepto (PoC) públicos[3], pero que ninguno parece ser ampliamente confiable.[3]Unit 42 de Palo Alto Networks dice que Cortex Xpanse ha encontrado más de 22.6 millones de instancias expuestas potencialmente vulnerables[5] a los dos fallos. CISA dice que las organizaciones que no pueden aplicar parches, o que aún ejecutan PHP 8.1 o anterior, deben desconectar los sistemas basados en PHP hasta que se puedan actualizar o corregir.[1]