{"id":12189,"date":"2026-10-21T14:59:10","date_gmt":"2026-10-21T17:59:10","guid":{"rendered":"https:\/\/novvor.com\/es-cl\/?p=12189"},"modified":"2026-10-21T15:12:36","modified_gmt":"2026-10-21T18:12:36","slug":"php-parches-criticos-octubre-2026","status":"publish","type":"post","link":"https:\/\/novvor.com\/es-cl\/blog\/2026\/10\/21\/php-parches-criticos-octubre-2026\/","title":{"rendered":"PHP corrige dos fallas cr\u00edticas: qu\u00e9 debe revisar tu empresa"},"content":{"rendered":"

Actualizaci\u00f3n informativa: 21 de octubre de 2026, 14:30 horas de Santiago de Chile (UTC\u22123).<\/strong><\/p>\n

PHP public\u00f3 hoy actualizaciones de seguridad para cuatro ramas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Para las empresas que operan sitios, comercio electr\u00f3nico o aplicaciones sobre esta tecnolog\u00eda, corresponde identificar los entornos utilizados y coordinar una actualizaci\u00f3n prioritaria. Anuncios oficiales de PHP<\/a>.<\/p>\n

La tarea requiere coordinaci\u00f3n entre tecnolog\u00eda, seguridad, proveedores y responsables del negocio. Actualizar un componente sin confirmar d\u00f3nde est\u00e1 funcionando puede dejar sistemas pendientes; cambiarlo sin pruebas puede afectar la operaci\u00f3n. Esta gu\u00eda propone un recorrido para pasar de la alerta a un cierre verificable.<\/p>\n

Qu\u00e9 se inform\u00f3<\/h2>\n

El aviso de CVE-2026-109618<\/strong> describe corrupci\u00f3n de memoria asociada al agotamiento de memoria y posible ejecuci\u00f3n remota de c\u00f3digo sin autenticaci\u00f3n. Est\u00e1 clasificado como cr\u00edtico, con puntuaci\u00f3n CVSS 4.0 de 9,2. La viabilidad de explotaci\u00f3n depende del entorno. Aviso oficial de PHP<\/a>.<\/p>\n

CVE-2026-109619<\/strong> afecta al manejo de estado entre solicitudes y tambi\u00e9n puede permitir ejecuci\u00f3n remota de c\u00f3digo. Su clasificaci\u00f3n es cr\u00edtica, con CVSS 4.0 de 9,2. El aviso pide aplicar la correcci\u00f3n completa y considerar conjuntamente ambos problemas. Segundo aviso oficial<\/a>.<\/p>\n

Estos hallazgos no prueban que una empresa determinada haya sido comprometida. La revisi\u00f3n de exposici\u00f3n y la b\u00fasqueda de incidentes requieren evidencia de sus propios sistemas.<\/p>\n

Versiones corregidas por rama<\/h2>\n\n\n\n\n\n\n\n\n
Rama PHP<\/th>\nVersi\u00f3n corregida publicada<\/th>\n<\/tr>\n<\/thead>\n
8.2<\/td>\n8.2.35<\/td>\n<\/tr>\n
8.3<\/td>\n8.3.36<\/td>\n<\/tr>\n
8.4<\/td>\n8.4.27<\/td>\n<\/tr>\n
8.5<\/td>\n8.5.12<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

La tabla recoge las versiones se\u00f1aladas en los avisos de seguridad de PHP<\/a>. No es una recomendaci\u00f3n de migrar todas las aplicaciones a otra rama sin evaluar compatibilidad.<\/p>\n

Si utilizas paquetes de una distribuci\u00f3n o un servicio administrado, solicita el bolet\u00edn del proveedor y la identificaci\u00f3n del paquete corregido. Puede existir un parche incorporado por el distribuidor, conocido como backport<\/em>, sin que el n\u00famero visible coincida exactamente con la versi\u00f3n original de PHP. Esa condici\u00f3n debe quedar documentada, no asumirse.<\/p>\n

Si tu empresa utiliza PHP 8.1 o anterior, la actualizaci\u00f3n requiere atenci\u00f3n adicional: esas ramas est\u00e1n fuera del soporte normal del proyecto. Solicita evidencia de cualquier correcci\u00f3n del proveedor y define una migraci\u00f3n a una rama soportada. Estado indicado por PHP<\/a>.<\/p>\n

Revisa m\u00e1s que WordPress<\/h2>\n

Una revisi\u00f3n limitada al panel de plugins resulta insuficiente para comprobar el estado de PHP. El inventario deber\u00eda incluir el sitio principal, subdominios, aplicaciones internas, entornos de prueba accesibles, hosting administrado, servidores y contenedores.<\/p>\n

Para cada servicio, registra qui\u00e9n lo administra, qu\u00e9 versi\u00f3n ejecuta, c\u00f3mo recibe actualizaciones y qu\u00e9 proceso de negocio depende de \u00e9l. Incluye las im\u00e1genes utilizadas en nuevos despliegues: corregir una instancia actual no debe permitir que el pr\u00f3ximo despliegue vuelva a introducir una imagen pendiente de actualizaci\u00f3n.<\/p>\n

La comprobaci\u00f3n debe identificar el runtime que realmente atiende las solicitudes web. Consultar \u00fanicamente la versi\u00f3n disponible en una terminal no basta para acreditar qu\u00e9 proceso utiliza cada sitio. Evita publicar p\u00e1ginas de diagn\u00f3stico que expongan configuraci\u00f3n; conserva la evidencia en los canales internos autorizados.<\/p>\n

Checklist para el equipo y el proveedor de hosting<\/h2>\n