Fecha: 21/10/2026
Nivel de riesgo: Crítico
Estimado cliente:
PHP ha publicado dos vulnerabilidades críticas que pueden permitir la ejecución remota de código en el servidor sin necesidad de autenticación. Según el equipo de seguridad de PHP, afectan a todas las versiones anteriores a las corregidas, y existen reportes de ataques tempranos.
Estado actual
El proyecto PHP ya publicó versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los proveedores que distribuyen PHP en sus propios paquetes, como CloudLinux, todavía están preparando sus actualizaciones. Hasta que las publiquen, se deben aplicar las siguientes medidas de mitigación.
Mitigación urgente (aplicar hoy)
1. Actualice PHP a 8.3.36 o superior (o a 8.4.27 u 8.5.12), siempre que su entorno lo permita. Las versiones 8.3.x anteriores a 8.3.36 no mitigan la vulnerabilidad.
2. Aplique las medidas de configuración temporales, que reducen la exposición pero no sustituyen a la actualización:
- Establezca memory_limit=-1 en la configuración del pool de PHP-FPM o de Apache, y compruebe que ningún otro ajuste lo sobrescriba.
- Establezca post_max_size en 8M si su sitio no necesita subir archivos, o en 32M si los necesita. Mantenga upload_max_filesize por debajo de ese valor.
- Establezca session.upload_progress.enabled=0 en php.ini o en la configuración del pool.
- En PHP 8.5, establezca fatal_error_backtraces=0.
- IMPORTANTE: Estas medidas deben aplicarlas técnicos con experiencia. Una configuración incorrecta puede afectar al funcionamiento de sus sitios.
- Solución definitiva pendiente: cuando CloudLinux y otros proveedores publiquen sus paquetes corregidos, le avisaremos en este mismo apartado para que actualice.
- PHP 8.1 y versiones anteriores ya no reciben correcciones del proyecto PHP. Migre a una versión soportada.
- PHP 8.2 llega al fin de soporte el 31/12/2026. Planifique la migración a 8.3 o superior.
Para cualquier duda, responda a través del Área de cliente o abra un ticket de soporte.
Atentamente,
Área Técnica
Más información oficial:
https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php
https://www.php.net/archive/2026.php#2026-10-21-5
https://laravel.com/forge/docs/knowledge-base/php-security-release-october-2026
- miércoles, 21st octubre, 2026
- 13:17pm
