PHP: ya hay parches en el código fuente para vulnerabilidades críticas

Se han añadido parches al código fuente del repositorio php-src en GitHub a las 13:34 UTC, según una actualización de Ars Technica. El medio indica que los paquetes y las imágenes de Docker comienzan a distribuirse a partir de ese código fuente. Esta novedad actualiza la alerta inicial, que todavía anunciaba una publicación inminente.

Los responsables del mantenimiento de PHP habían anunciado parches para dos vulnerabilidades, ambas con una puntuación de 9,2 sobre 10. Ars Technica recoge los identificadores CVE-2026-109618 y CVE-2026-109619, cuya existencia ha confirmado la empresa de seguridad watchTowr. En cambio, los detalles que habían circulado antes de la publicación de los parches seguían presentándose como no confirmados. No permiten afirmar que todas las instalaciones estén expuestas de la misma manera.

Para las organizaciones, la preparación descrita consiste en identificar a los responsables de PHP, inventariar las aplicaciones afectadas, programar tareas de mantenimiento y hacer copias de seguridad de los archivos de los sitios y de las bases de datos. La disponibilidad del código fuente no basta, por sí sola, para establecer que cada entorno disponga ya del paquete adecuado.

Por tanto, la prioridad inmediata sigue siendo comprobar la disponibilidad de las actualizaciones y aplicarlas lo antes posible. El artículo no documenta ninguna campaña activa de explotación: las previsiones de ataques formuladas por empresas de seguridad deben distinguirse de los ataques efectivamente observados.