CVE-2026-109619: ejecución remota de código en PHP por estado global obsoleto

¿Qué es CVE-2026-109619?

CVE-2026-109619 es la segunda vulnerabilidad de PHP2Shell; el título oficial que le da PHP es «RCE via stale global state» (ejecución remota de código por estado global obsoleto). Los procesos de PHP atienden muchas peticiones, una detrás de otra. Cuando una petición termina, su memoria se libera, pero parte del estado global podía seguir apuntando a ella. Si una petición posterior usa esa referencia obsoleta, accede a memoria ya liberada, y un atacante puede convertir eso en ejecución de código.

El aviso de GitHub lo califica de crítico, con una puntuación CVSS 4.0 de 9,2 y el vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: se puede atacar por red, sin iniciar sesión y sin interacción del usuario, aunque la complejidad del ataque se considera alta y deben darse ciertas condiciones.

¿Qué versiones de PHP están afectadas por CVE-2026-109619?

Están afectadas todas las ramas con soporte que estén por debajo de su versión corregida, y también las ramas sin soporte. PHP 8.1 y anteriores ya no reciben versiones nuevas; PHP solo publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1 (consulta PHP fin de soporte).

Los paquetes de las distribuciones llevan sus propias versiones corregidas. La tabla siguiente también incluye imágenes, paneles y proveedores de hosting cuyo estado aún no hemos verificado:

¿Cómo corrijo CVE-2026-109619?

Actualiza PHP a la versión corregida de tu rama, o al paquete parcheado de tu distribución, y después reinicia todos los procesos de PHP para que ninguno siga con el código antiguo. El aviso de GitHub es claro: actualizar a una versión que incluya el parche completo de reinicio del estado es la única mitigación fiable. La guía del parche de PHP2Shell cubre cada tipo de instalación.

¿Puedo mitigar CVE-2026-109619 sin actualizar?

Solo en parte. PHP indica dos ajustes de administración, y cada uno exige reiniciar después todos los procesos de PHP:

• session.upload_progress.enabled=0, configurado en php.ini, en el pool de FPM o en la configuración del servidor (no con ini_set() ni con un .user.ini de FPM). Bloquea las vías confirmadas a través de la sesión, pero no otras variantes.
• Solo en PHP 8.5, fatal_error_backtraces=0. Bloquea únicamente la vía confirmada a través de los backtraces de errores fatales.

PHP afirma que no existe una mitigación genérica completa por configuración. En la página de mitigación de CVE-2026-109618 encontrarás todas las medidas temporales y sus efectos secundarios.

¿Por qué importan los procesos de PHP en CVE-2026-109619?

El fallo afecta a procesos de PHP de larga duración, que atienden una petición tras otra. Por eso tanto la actualización como las medidas temporales exigen reiniciar todos los procesos: los pools de PHP-FPM, Apache con mod_php o el proceso de PHP de tu servidor. Un proceso que sigue en marcha después de actualizar todavía tiene el código antiguo en memoria. En un hosting compartido, el reinicio corre a cargo de tu proveedor; pídele que te lo confirme.

¿Qué instalaciones están expuestas a CVE-2026-109619?

El aviso de PHP abarca todas las instalaciones de PHP que atienden peticiones web, incluidos PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y considera mod_php el caso de mayor riesgo. Usar Nginx o PHP-FPM no te libra. El uso exclusivo desde la línea de comandos no entra en el aviso, pero actualiza el binario de todas formas.

¿Un plugin de modo mantenimiento frena CVE-2026-109619?

No te fíes de ello. Una página de mantenimiento de WordPress sigue pasando por el tratamiento de peticiones de PHP, y algunas vías de ataque se producen antes de que se ejecute el código de la aplicación. Si no puedes actualizar, bloquea el tráfico antes de que llegue a PHP (en el servidor web o a nivel del hosting) o desconecta la web.

¿Se está explotando CVE-2026-109619?

Se han detectado intentos de ataque, pero no se ha confirmado ninguna intrusión con éxito. Cloudflare informó de tráfico de ataque de PHP2Shell contra sus clientes antes de que saliera la corrección. Ninguna de las fuentes que hemos revisado a fecha de 22 de octubre de 2026 confirma que se haya tomado el control de un servidor. Considera expuesto cualquier PHP sin parchear que dé servicio en internet y actualízalo.

¿Cómo compruebo si mi web está afectada por CVE-2026-109619?

Introduce la versión de PHP y la configuración de tu web en el comprobador de versión de PHP, o consulta la visión general del comprobador PHP2Shell. El fallo hermano es CVE-2026-109618.

¿Qué fuentes respaldan esta página?

• Aviso de GitHub GHSA-6wmf-4rv5-p3rp
• The PHP Group: aviso de seguridad
• Wiz Research: investigación original
• Canonical: página del CVE en Ubuntu
• Cloudflare: protecciones del WAF