La Gerencia de Gestión de Incidentes Telemáticos (VenCERT) emite la presente alerta de seguridad dirigida a la comunidad técnica, administradores de sistemas y responsables de infraestructura tecnológica, ante la divulgación de dos vulnerabilidades críticas de ejecución remota de código (Remote Code Execution - RCE) en el motor principal de PHP, identificadas bajo los registros CVE-2026-109618 y CVE-2026-109619.
Desde VenCERT exhortamos a los equipos de TI y Ciberseguridad a mantener la calma, priorizar la continuidad de sus servicios y estructurar la respuesta técnica bajo los procedimientos oficiales de gestión de cambios.
Ambas incidencias se originan en la gestión de memoria y el manejo de estados internos en los procesos de ejecución de PHP (principalmente bajo PHP-FPM y Apache mod_php):
CVE-2026-109618 - Desbordamiento de Búfer / Corrupción de Memoria por Condición OOM
- Mecanismo de fallo: Ocurre durante el procesamiento de solicitudes HTTP de gran tamaño o de alta concurrencia. Al agotarse la memoria disponible (Out-Of-Memory / OOM), el manejador de memoria interno de PHP no libera adecuadamente las estructuras de datos, permitiendo una corrupción de memoria reutilizable (Use-After-Free o escritura fuera de límites).
- Impacto: Permite a un atacante remoto no autenticado inyectar y ejecutar código arbitrario con los privilegios del trabajador web (www-data, apache, etc.).
CVE-2026-109619 - Contaminación de Estado Persistente en Workers Reutilizados
- Mecanismo de fallo: Afecta a entornos de ejecución persistente donde los procesos trabajadores (workers) atienden múltiples solicitudes consecutivas sin reiniciarse. Una solicitud maliciosa con parámetros manipulados puede corromper el estado global de la variable de sesión o punteros internos, dejando el proceso en un estado inestable que expone la subsiguiente solicitud a la ejecución de código.
- Impacto: Escalado de privilegios en el contexto del proceso ejecutor y evasión de restricciones de seguridad perimetral.
Matriz de Versiones y Parches Oficiales
Los equipos administradores deben validar la versión actual en sus servidores y planificar la actualización a las siguientes versiones corregidas (o aplicar los paquetes con backports oficiales de su distribución Linux/Unix):
Rama Afectada :
- PHP 8.2.x8.2.35
- PHP 8.3.x8.3.36
- PHP 8.4.x8.4.27
- PHP 8.5.x
Versión Mínima Segura:
- 8.2.35
- 8.3.36
- 8.4.27
Plan de Acción Técnico por Fases
Para evitar la interrupción de servicios críticos por incompatibilidades de código o fallos en cascada, la actualización debe llevarse a cabo siguiendo estrictamente estas tres fases:
- Fase 1: Verificación en Entorno de Pruebas (Staging) Ningún parche o cambio debe aplicarse directamente en producción. El equipo técnico tiene la responsabilidad de replicar la versión actual del entorno productivo en un servidor de pruebas aislado para aplicar y verificar la actualización correspondiente.
- Fase 2: Validación de Lógica de Negocio y Estabilidad Una vez aplicado el parche en el entorno de pruebas, se deben ejecutar pruebas funcionales exhaustivas para comprobar que el comportamiento de la actualización no altera la lógica de negocio ni genera incompatibilidades con los aplicativos desplegados.
- Fase 3: Escalado a Producción Únicamente tras validar el éxito de las pruebas de integración y asegurar la estabilidad del sistema, se procederá a programar y ejecutar la actualización en los servidores de producción bajo la debida ventana de mantenimiento.
Medidas de Contención Temporal y Mitigación de Riesgo
Para aquellas instituciones que operen servicios críticos expuestos y cuyo ciclo de pruebas impida un parcheo inmediato, se recomiendan las siguientes acciones de contención perimetral:
- Evaluar la suspensión temporal del acceso público, colocando la plataforma en modo de mantenimiento de manera controlada.
- Implementar a nivel de infraestructura web (servidores proxy inversos o cortafuegos de aplicaciones como Nginx o Apache) reglas perimetrales temporales de inspección de cuerpos de solicitudes, prestando especial atención a la gestión de peticiones complejas (como multipart/form-data) mientras se completa la actualización definitiva del binario.
VenCERT agradece el compromiso y la rigurosidad de todos los equipos técnicos en la salvaguarda de los activos tecnológicos nacionales y recuerda que mantendrá canales de comunicación activos para cualquier actualización adicional sobre este particular.