La PHP Foundation lanzó recientemente actualizaciones de seguridad para las versiones de PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para abordar dos vulnerabilidades críticas de ejecución remota de código (RCE). Estos fallos, identificados como CVE-2026-109618 y CVE-2026-109619, permitían a atacantes no autenticados ejecutar código en servidores bajo condiciones específicas. La primera vulnerabilidad involucraba una corrupción por falta de memoria (OOM), donde PHP podía dejar datos internos parcialmente inicializados tras alcanzar un límite de memoria, provocando una corrupción de la memoria. La segunda involucraba un error de 'uso después de liberación' (use-after-free) donde un error fatal podía dejar el estado interno apuntando a la memoria de una solicitud anterior, permitiendo que una solicitud posterior accediera a esa memoria liberada. Ambos problemas eran particularmente graves porque residían en componentes centrales —gestión de memoria y manejo de errores— que casi todas las solicitudes tocan.
La PHP Foundation reconoció que el retraso en la corrección de estos problemas fue un 'fallo estructural' causado por la falta de recursos y un proceso de toma de decisiones basado en el consenso. En 2024, durante la primera auditoría de seguridad externa del proyecto en años, el equipo identificó el problema de OOM pero tuvo dificultades para elegir una solución porque cada opción disponible implicaba compensaciones significativas, como romper la compatibilidad hacia atrás, introducir nuevos riesgos de denegación de servicio o requerir cambios masivos en extensiones de terceros. Para abordar estos problemas sistémicos, la Fundación ha reestructurado sus operaciones de seguridad, creando un Equipo de Seguridad del Ecosistema y contratando personal dedicado para gestionar el triaje y el endurecimiento. También han integrado herramientas de investigación asistidas por IA de proveedores como Anthropic y OpenAI para ayudar a validar informes y agrupar vulnerabilidades que comparten la misma causa raíz.
La PHP Foundation está reestructurando sus operaciones de seguridad para abordar vulnerabilidades sistémicas y mejorar los tiempos de respuesta.
A pesar de estas mejoras internas, el proceso de lanzamiento enfrentó complicaciones externas significativas debido a una filtración de la divulgación coordinada. Dos días antes del lanzamiento programado, los IDs de CVE comenzaron a circular en las redes sociales con puntuaciones CVSS incorrectas. Esta filtración provocó un anuncio público prematuro y una aceleración de un día en la fecha de lanzamiento para asegurar que los usuarios pudieran actualizarse lo más rápido posible. Además, la Fundación señaló que algunas entidades rompieron el embargo de divulgación prematuramente; por ejemplo, una empresa de seguridad publicó por error un video de prueba de concepto, y un distribuidor publicó imágenes construidas que contenían la corrección antes del lanzamiento oficial. Estos incidentes subrayaron la dificultad de gestionar divulgaciones coordinadas en un entorno de alto riesgo donde los atacantes pueden estudiar las correcciones binarias tan pronto como están disponibles para los distribuidores.