CVE-2026-109619: PHP reutiliza estado interno de peticiones ya liberadas y permite ejecutar código en remoto

Qué ocurre

PHP mantiene cierto estado global que, durante un tiempo, apunta a la memoria de la petición en curso. En algunas situaciones ese estado no se limpia bien, o vuelve a rellenarse después de haberse limpiado, de modo que sigue apuntando a memoria que ya se ha liberado. Las peticiones siguientes pueden entonces leer ese estado antiguo o tomar decisiones a partir de él antes de que esté inicializado del todo.

Según la descripción del fallo, hay varias formas de provocar esta situación y pueden acabar en ejecución remota de código. CISA añade que no hace falta autenticarse y que la vulnerabilidad se está explotando activamente. No consta que se haya usado en campañas de ransomware. La puntuación CVSS es 8,1.

A quién afecta

Afecta a PHP. Los datos disponibles no detallan qué versiones están afectadas, así que conviene comprobarlo en el aviso del fabricante.

Qué hacer

No consta una versión corregida concreta: consulta el aviso del fabricante y aplica las medidas que indique. CISA pide seguir esas instrucciones y, si no hay mitigaciones disponibles, dejar de usar el producto. También recomienda revisar la exposición a internet de cada sistema y hacer un análisis forense básico de los equipos implicados, dado que el fallo ya se está aprovechando.