Han surgido informes sobre dos vulnerabilidades críticas de ejecución remota de código (RCE) en el lenguaje de programación PHP, identificadas con los números de CVE reservados CVE-2026-109618 y CVE-2026-109619. Se informa que estas vulnerabilidades tienen una puntuación CVSS de 10.0, la calificación de gravedad más alta posible, lo que indica que podrían permitir a un atacante ejecutar código arbitrario en un servidor. El alcance del problema es significativo, ya que se informa que las vulnerabilidades afectan a todas las versiones de PHP desde la versión 5 en adelante.
Los detalles técnicos sugieren que los fallos involucran dos primitivas de uso después de la liberación (use-after-free) en el montón dentro del manejador `session.upload_progress` de PHP. Debido a que PHP impulsa una parte masiva de la web, incluyendo plataformas importantes como WordPress, Laravel, Drupal, Joomla y Magento, el impacto potencial es generalizado. Algunos informes sugieren que aproximadamente el 70% de todos los sitios web podrían ser vulnerables. Además, existe la preocupación de que las versiones más antiguas de PHP, específicamente las versiones 5 y 7, podrían no recibir los parches de seguridad urgentes necesarios para remediar los fallos.
En respuesta a los informes, se han discutido varias estrategias de mitigación. Un método sugerido es desactivar la función afectada estableciendo `session.upload_progress.enabled = Off` en el archivo de configuración `php.ini`. Sin embargo, algunos informes indican que los cambios de configuración por sí solos pueden no ser suficientes para proteger completamente los sistemas, y es necesario un parche del núcleo del motor PHP. Otras medidas sugeridas incluyen bloquear las solicitudes multipart a nivel del servidor web o, en casos extremos, aislar las aplicaciones orientadas a Internet de las redes públicas hasta que se publique y aplique un parche formal. Se esperaba que los anuncios oficiales sobre la corrección se realizaran a finales de octubre de 2026.