Vulnerabilidad de Ejecución Remota de Código en PHP (CVE-2026-109618)

La vulnerabilidad CVE-2026-109618 radica en un fallo severo de desbordamiento de búfer basado en (heap-based buffer overflow) y corrupción de memoria dentro del gestor de memoria Zend de PHP.

• Vector de ataque: Un atacante remoto no autenticado puede enviar peticiones HTTP o FastCGI especialmente mal formadas hacia la aplicación web.
• Impacto: Al procesar estas entradas, se corrompe el espacio de memoria asignado, permitiendo la Ejecución Remota de Código (RCE) bajo los privilegios del usuario del servidor web (ej. www-data), lo que puede derivar en la toma total del control del servidor afectado.

Mitigación y Acciones Recomendadas

• Actualización de Versión: Actualice inmediatamente el motor de PHP a las versiones de seguridad correspondientes según la rama instalada en su servidor:
  
• Rama PHP 8.2: Actualizar a PHP 8.2.35 o superior.
• Rama PHP 8.3: Actualizar a PHP 8.3.36 o superior.
• Rama PHP 8.4: Actualizar a PHP 8.4.27 o superior.
• Rama PHP 8.5: Actualizar a PHP 8.5.12 o superior.
• En sistemas operativos Linux gestionados por repositorios (Debian, Ubuntu, Red Hat, AlmaLinux, etc.), ejecute la actualización de paquetes de seguridad oficiales emitidos por el mantenedor (ej. apt update && apt upgrade php).
• Protección Perimetral (WAF): Configure reglas de inspección profunda de paquetes en su Web Application Firewall (WAF) para bloquear patrones de tráfico anómalos dirigidos al intérprete de PHP.
• Restricción de Recursos: Limite los recursos y permisos del proceso de PHP a lo estrictamente necesario para minimizar el impacto de un posible compromiso.

https://nvd.nist.gov/vuln/detail/cve-2026-109618