El martes 21 de octubre de 2026 el proyecto PHP publicó cuatro versiones de seguridad a la vez: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Corrigen dos vulnerabilidades críticas del núcleo del lenguaje, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas en conjunto como php2shell. Este artículo explica qué son, con las fuentes oficiales, y cuál es el estado de los servicios de Almendro: todos corren la versión corregida desde ese mismo día.
Qué dice el proyecto PHP
El anuncio oficial de la versión 8.5.12 lo dice sin rodeos. Citamos y traducimos: «Esta es una versión de seguridad que corrige dos vulnerabilidades críticas (CVE-2026-109618, CVE-2026-109619) que pueden permitir la ejecución remota de código sin autenticación. Se recomienda encarecidamente a todos los usuarios de PHP 8.5 actualizar de inmediato. No existen mitigaciones completas; actualizar es la única opción segura.» El texto es idéntico en los anuncios de 8.4.27, 8.3.36 y 8.2.35.
Los dos avisos de seguridad del proyecto, publicados en GitHub el mismo 21 de octubre, detallan cada falla. Las dos tienen una puntuación de 9,2 sobre 10 en CVSS 4.0, severidad crítica:
- CVE-2026-109618, «RCE via OOM corruption»: PHP salía de una petición que agotaba la memoria dejando datos a medio construir que luego trataba como válidos. El aviso confirma como impacto «ejecución remota de código sin autenticación con la cuenta del proceso web».
- CVE-2026-109619, «RCE via stale global state»: ciertas operaciones de entrada, configuración, sesión y manejo de errores corrían antes de inicializar la petición siguiente y podían tocar memoria de una petición ya liberada. El impacto confirmado es «uso de memoria liberada, revelación de memoria y ejecución remota de código», también sin autenticación.
Están afectadas todas las versiones anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones 8.1 y anteriores ya no reciben correcciones del proyecto PHP, así que no tienen parche: quien siga en ellas tiene que subir de versión.
Por qué importa
PHP está detrás de una parte enorme de la web, incluidos WordPress, WooCommerce y la mayoría de los sistemas de facturación y comercio de Costa Rica. Una falla que permite ejecutar código sin credenciales, con la cuenta del servidor web, es lo más grave que puede ocurrirle a una aplicación expuesta a internet: quien la explota puede leer datos, modificarlos o dejar el servicio fuera de línea. Y como el problema está en PHP mismo, actualizar la aplicación, el tema o los complementos no sirve de nada: solo sirve actualizar PHP.
El estado de los servicios de Almendro
El mismo 21 de octubre, en cuanto se publicaron las versiones corregidas, actualizamos a PHP 8.5.12 toda nuestra plataforma: la plataforma de fe.almendro.cr, el sitio almendro.cr, el punto de venta, las tiendas en línea que operamos para nuestros clientes y los ambientes de prueba. Son once aplicaciones y las once quedaron en la versión corregida antes de terminar el día. Mientras preparábamos la actualización aplicamos además la mitigación parcial que recomendó la comunidad, y la retiramos al quedar cada servicio parchado, porque con la versión nueva ya no hace falta.
Cada actualización se hizo con el mismo cuidado de siempre: respaldo de la base de datos antes, la batería de pruebas automáticas de cada aplicación ejecutada sobre la versión nueva de PHP antes de tocar producción, y verificación de cada servicio después. En la revisión de los registros de fe.almendro.cr no encontramos indicios de que las fallas se hubieran explotado antes del parche.
Sus datos y sus comprobantes no requieren ninguna acción de su parte.
Si usted administra PHP en algún servidor
- Actualice a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según su rama, y reinicie PHP. Es la única corrección completa.
- Si usa una versión sin soporte, 8.1 o anterior, no hay parche para usted: planifique subir a una versión con soporte. Tenga en cuenta que PHP 8.2 deja de recibir correcciones de seguridad el 31 de diciembre de 2026.
- Si usa un servicio de hosting compartido, confirme con su proveedor que ya aplicó la actualización; la mayoría lo anunció ese mismo día.
Fuentes
- Anuncio oficial de PHP 8.5.12, proyecto PHP, 21 de octubre de 2026.
- Registro de cambios de PHP 8.5.12, proyecto PHP.
- Aviso de seguridad GHSA-w8hw-w9fx-j79w, CVE-2026-109618, proyecto PHP en GitHub.
- Aviso de seguridad GHSA-6wmf-4rv5-p3rp, CVE-2026-109619, proyecto PHP en GitHub.
- Versiones de PHP con soporte, proyecto PHP.
