Vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619): cómo proteger sus servidores Bare Metal y VPS
El 21 de octubre de 2026, el proyecto PHP publicó parches importantes para dos vulnerabilidades críticas. Si PHP se ejecuta en alguno de sus servidores dedicados Bare Metal o VPS, le explicamos paso a paso cómo comprobar si está expuesto y cómo protegerse.
Este artículo está dirigido a nuestros clientes de servidores dedicados y VPS. Los clientes de Web Cloud y de hosting compartido recibirán automáticamente un componente PHP actualizado.
Lo esencial de un vistazo
| Detalle | Elemento |
|---|---|
| CVE-2026-109618 y CVE-2026-109619 | Las vulnerabilidades |
| Toma de control remota de su servidor, sin credenciales | El riesgo |
| Crítico (CVSS 9,2 sobre 10) | Gravedad |
| Todas las versiones de PHP anteriores a PHP 7.4 | Versiones vulnerables |
| 8.2.35, 8.3.36, 8.4.27 y 8.5.12 | Versiones corregidas |
| Actualizar PHP sin más demora y, después, reiniciar sus servicios PHP | Nuestra recomendación |
Qué está pasando, explicado de forma sencilla
Ambas vulnerabilidades afectan al núcleo de PHP, no a un CMS o framework concreto. Tienen que ver con la forma en que PHP gestiona la memoria entre dos peticiones:
- CVE-2026-109618: una petición deliberadamente demasiado pesada (el envío de un formulario, por ejemplo) hace que PHP agote su memoria y deje datos en un estado incoherente.
- CVE-2026-109619: información de una petición anterior permanece en memoria cuando debería borrarse, y la petición siguiente la reutiliza.
En ambos casos, un atacante puede ejecutar su propio código en su servidor con los permisos de su servidor web. No necesita cuenta ni contraseña: le basta con conectarse a su sitio web. Los investigadores han demostrado la explotación, en particular con Apache (mod_php) y PHP-FPM, las dos configuraciones más habituales.
¿Le afecta? Compruébelo en dos minutos
Le afecta especialmente si PHP sirve un sitio web o una aplicación en alguno de sus servidores Bare Metal (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) o en un VPS de OVHcloud.
Conéctese por SSH y escriba:
php -v
Compare el resultado con esta tabla:
| Su versión | Lo que debes hacer |
|---|---|
| 8.5.x | Actualizar a 8.5.12 |
| 8.4.x | Actualizar a 8.4.27 |
| 8.3.x | Actualizar a 8.3.36 |
| 8.2.x | Actualizar a 8.2.35 |
| De la 8.1.x a la 7.4 | Actualizar a las versiones CVE2-026-109618-109619. Tenga en cuenta que las versiones 7.4, 8.0 y 8.1 requieren una recompilación |
| El proyecto PHP no publicará ningún parche: le recomendamos planificar una migración a una versión con soporte (paralelamente, nuestros equipos están estudiando otras opciones) |
Conviene saber: la versión que aparece en la línea de comandos puede ser distinta de la que utiliza su sitio web, sobre todo si hay varias versiones de PHP instaladas. En caso de duda, compruebe también la versión en la configuración de su servidor web o de su panel de administración (Plesk, cPanel…).
Actualizar paso a paso
La actualización no debería llevar más de unos quince minutos por servidor. Le recomendamos empezar por los servidores accesibles desde internet.
Haga una copia de seguridad. En un VPS, basta con un snapshot desde el Área de Cliente de OVHcloud. En un servidor Bare Metal, guarde como mínimo sus archivos de configuración y sus datos.
Actualice los paquetes PHP con el gestor de paquetes de su distribución:
- Debian / Ubuntu:
sudo apt update && sudo apt upgrade - AlmaLinux / Rocky Linux:
sudo dnf upgrade - PHP compilado desde el código fuente: descargue la versión corregida en php.net
- Contenedores Docker: reconstruya sus imágenes a partir de una imagen PHP actualizada y vuelva a desplegarlas
Reinicie sus servicios PHP. Es el paso que más se olvida: sin reinicio, la versión antigua sigue ejecutándose en memoria.
- PHP-FPM:
sudo systemctl restart php8.x-fpm(Debian/Ubuntu, sustituyendo x por su versión) osudo systemctl restart php-fpm - Apache:
sudo systemctl restart apache2osudo systemctl restart httpd
Compruebe con php -v que la versión corregida está activa y que su sitio web funciona con normalidad.
Si su distribución todavía no ofrece la versión corregida, vuelva a comprobarlo con regularidad: algunos repositorios publican las actualizaciones con unas horas de retraso. Mientras tanto, aplique las medidas temporales que se indican a continuación.
¿No puede actualizar de inmediato?
El proyecto PHP es claro: solo la actualización protege completamente su servidor. Los siguientes ajustes, extraídos de los avisos oficiales, reducen el riesgo mientras tanto. Se configuran en su php.ini y requieren después reiniciar PHP-FPM o Apache.
- Desactive el seguimiento del progreso de la subida de archivos:
session.upload_progress.enabled = 0. Esta función se utiliza poco, y PHP recomienda mantenerla desactivada incluso después de la actualización. - Solo en PHP 8.5:
fatal_error_backtraces = 0. - Si su aplicación no utiliza formularios con subida de archivos, bloquee este tipo de peticiones (multipart) en su servidor web o en su proxy.
PHP también menciona la eliminación del límite de memoria (memory_limit = -1). Le recomendamos utilizar esta opción con prudencia: una sola petición podría entonces consumir toda la memoria de su servidor.
¿Sigue utilizando PHP 8.1 o una versión anterior? Estas versiones no recibirán parche. Aplique estas medidas hoy mismo y planifique cuanto antes una migración a PHP 8.4 u 8.5.
Estamos aquí para ayudarle
En un servidor Bare Metal o un VPS, usted mantiene el control total de su sistema: no intervenimos en modo alguno en sus instancias sin su consentimiento. Por eso queremos darle todas las claves para actuar con rapidez y tranquilidad.
Por nuestra parte, estamos actualizando las imágenes de sistema operativo disponibles para la instalación y avisando a los clientes cuyas instancias parecen expuestas. Completaremos este artículo si se publica nueva información.
¿Tiene alguna pregunta o duda sobre su configuración? Nuestros equipos de soporte están a su disposición, y nuestros partners pueden acompañarle en la actualización o la migración de sus versiones de PHP.
Más información