CVE-2026-109618: un fallo de memoria en PHP permite ejecutar código en remoto sin autenticación

Qué ocurre

Cuando PHP se queda sin memoria mientras atiende una petición, abandona lo que estaba haciendo mediante un salto directo, con la función longjmp(), y aborta esa petición. El problema es que algunas partes del código no tienen en cuenta esta salida repentina y dejan memoria de la petición sin inicializar antes de pedir una nueva reserva.

Después, al limpiar la petición, PHP puede leer esa memoria o tomar decisiones basándose en su contenido. Según la descripción del fallo, este estado se puede provocar de forma consistente por varias vías y termina en ejecución remota de código.

CISA lo describe como una corrupción de memoria que permite ejecutar código en remoto sin autenticación, y el fallo tiene una puntuación CVSS de 9.8. Además, consta como explotado activamente. No consta que se haya usado en campañas de ransomware.

A quién afecta

Afecta a PHP. Los datos disponibles no detallan qué versiones concretas están afectadas ni cuáles lo corrigen, así que hay que comprobarlo en el aviso del fabricante.

Qué hacer

• Consulta el aviso oficial de PHP para saber si tu versión está afectada y aplica las medidas que indique.
• Revisa qué servicios con PHP están expuestos a internet y limita esa exposición mientras no estén protegidos.
• CISA indica aplicar las mitigaciones del fabricante y, si no hay ninguna disponible, dejar de usar el producto. También recomienda seguir sus requisitos de análisis forense, algo a tener en cuenta dado que el fallo ya se está explotando.