Qué pasó
- El equipo de seguridad de PHP anunció el 20 de octubre de 2026 una versión de seguridad crítica para el miércoles 21 de octubre a las 14:00 UTC (11:00 en Chile, hora de verano).
- El aviso habla de dos vulnerabilidades críticas, cada una con 9,2 en CVSS v4.0. No lista los identificadores CVE ni las versiones afectadas, que se publicarán con el parche.
- PHP puede adelantar la publicación si los detalles se hacen públicos o aparece evidencia de explotación. Pide a los usuarios prepararse para actualizar apenas salga.
- Según BleepingComputer, la firma watchTowr afirma haber reproducido una de las fallas (CVE-2026-109618) sin publicar detalles técnicos y no ha visto explotación activa. watchTowr describe las dos como ejecución remota de código.
Por qué importa
- PHP es el lenguaje de WordPress y de buena parte de las tiendas y sitios de pymes. Un aviso así obliga a saber qué versión corre cada servidor antes del miércoles.
- Para quien tiene hosting compartido en Chile, la actualización suele depender del proveedor. La pregunta útil no es cuándo sale el parche, sino cuándo lo aplica quien administra el servidor.
- La consecuencia que el aviso no dice: anunciar la existencia de la falla antes del parche da ventaja a quien intente deducirla. Por eso el calendario de 24 horas importa.
El dato
9,2. Puntuación CVSS v4.0 que PHP asigna a cada falla. watchTowr habla de 10,0, según el medio; la diferencia no está explicada.
Contexto
El medio reporta que las fallas estaban bajo embargo para una divulgación el jueves, y que PHP decidió publicar antes. Que un proyecto abierto avise con un día de antelación es una práctica discutida: otros casos recientes, como la vulnerabilidad de SGLang sin parche, dejaron a los usuarios sin salida por días.
Qué viene
- Miércoles 21 de octubre de 2026, 14:00 UTC: publicación de la versión de seguridad.
- Antes, si aparece explotación o los detalles se filtran.
- Pendiente: lista de versiones afectadas y CVE oficiales.
Cierre
Hace poco Mamífero contó cómo un agente encontró vulnerabilidades en Android. Las fallas siguen apareciendo en el software que lleva décadas funcionando.
Fuentes
- PHP.net — Upcoming Critical PHP Security Release (20 de octubre de 2026)
- BleepingComputer — PHP warns admins of two critical flaws, emergency patches coming tomorrow (20 de octubre de 2026, 16:56; fuente de la postura de watchTowr y de los CVE)
Editado por Rodrigo Cornejo. Quiénes escriben las notas
