Fallos de PHP
Dos vulnerabilidades críticas en PHP, corregidas el 21 de octubre de 2026. Aquí tienes la evaluación, las versiones corregidas y las fuentes.
Según los avisos del proyecto PHP, ambas vulnerabilidades afectan a las ramas 8.2, 8.3, 8.4 y 8.5. El proyecto PHP califica ambas como críticas e indica que la única solución completa es actualizar a una versión corregida. Esta página describe las vulnerabilidades solo de forma general, a propósito.
Ejecución de código tras un aborto por falta de memoria (OOM)
Ante una falta de memoria, PHP podía abandonar una petición en un estado parcialmente inicializado que después se seguía procesando durante la limpieza (use-after-free). Según el aviso, es posible ejecutar código de forma remota sin autenticación.
Ejecución de código por estado global obsoleto
En procesos worker de larga duración, el estado global ligado a cada petición no se restablecía antes de liberar la memoria de la petición (use-after-free). Una petición posterior al mismo worker podía acceder a él.
| Rama | Corrección incluida |
|---|---|
| PHP 8.2 | desde 8.2.35 |
| PHP 8.3 | desde 8.3.36 |
| PHP 8.4 | desde 8.4.27 |
| PHP 8.5 | desde 8.5.12 |
La comparación siempre se hace dentro de cada rama: 8.3.35 está por debajo de la versión corregida, 8.4.27 la alcanza. Un único valor mínimo global sería incorrecto.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones del proyecto PHP. Según php.net, PHP 8.2 llega al final de su soporte el 31/12/2026.
Los avisos describen efectos en varias interfaces de servidor, entre ellas el módulo de Apache, PHP-FPM, LSAPI y FrankenPHP, con vías de ataque confirmadas en distinto grado. Por tanto, PHP-FPM no queda excluido de forma general. Actualiza todos los entornos de ejecución de PHP que use tu sitio web y reinícialos después de la actualización.
Las distribuciones pueden incorporar correcciones a versiones de paquete más antiguas. Si eso se aplica a tu paquete solo lo acredita el aviso de seguridad del fabricante correspondiente para esa versión exacta del paquete y ambos identificadores CVE. Mientras no exista esa prueba, PHP Checker clasifica las versiones base antiguas con revisión del fabricante como «Requiere comprobación del fabricante».
Cómo actualizar PHP paso a paso
Referencia: revisada técnicamente el 21 de octubre de 2026 · versión de datos 2026-10-21.1. La referencia solo se actualiza tras una revisión técnica real de las fuentes.