PHP lanzará una actualización de seguridad crítica para dos vulnerabilidades con CVSS 9.2
Upcoming Critical PHP Security Release
El equipo de seguridad de PHP anuncia una versión de seguridad para el miércoles 21 de octubre de 2026 a las 14:00 UTC, que corrige dos vulnerabilidades críticas, ambas con una puntuación CVSS v4.0 de 9.2. Se recomienda a todos los usuarios prepararse para actualizar en cuanto esté disponible. El lanzamiento podría adelantarse si los detalles se hacen públicos o si se detecta explotación activa.
Nos reservamos el derecho de lanzar antes si los detalles de cualquiera de las vulnerabilidades se hacen públicos, o si vemos evidencia de explotación activa.
- petervandijck
Acabo de tirar mis 10 o así sitios hasta que salga el parche. Unas horas de caída frente a preocuparme de que se haya inyectado algo en mi caché o en mi base de datos
- TekMol
Muchos aquí piden un lanzamiento más temprano del parche.
Pero no está claro si publicar el arreglo antes haría el daño menor o mayor.
Tener el parche probablemente facilita crear un exploit. Así que el número de ataques aumentaría.
No hay forma de coordinar al mundo entero a una hora más temprana. Supongo que el número de personas que tienen que parchear sus instancias está en los cientos de miles.
Todo el que sigue el tema activamente ya tiene la opción de apagar sus instancias.
Así que dar la voz de alarma y conseguir que cuanta más gente mejor apague sus servidores web ahora y parchee a las 14:00 podría ser lo mejor en términos de minimizar el daño.
- reddalo
¡Ya salió el Release Candidate de la versión parcheada! Espero que pronto le siga un lanzamiento estable. Ya están atacando sitios web en producción.
- janmo
Cloudflare: "Estamos viendo ataques tempranos emerger y vamos actualizando las mitigaciones a medida que aparecen nuevos vectores."
https://x.com/dok2001/status/2112811965735202970
¿¡Cuándo van a lanzar por fin el parche?!
- nr378
Dado que esto afecta a todas las versiones de PHP de la última década, y que las instrucciones del exploit circulan en lo más alto de Twitter, y que todavía no hay arreglo disponible, ¿no parece descabellado asumir que todo sitio web importante de PHP ya está comprometido?
Las instrucciones de actualización aquí deberían incluir prender fuego a tus hosts y empezar de nuevo.
- anthonyeden
Por lo que puedo ver, Cloudflare ha mitigado esto mediante su WAF [0] (gratuito y de pago).
El GitLab de Alpine [1] indica que las versiones de PHP que se lanzarán el 21-10-2026 14:00:00 UTC son:
8.5.12
8.4.27
8.3.36
8.2.35
[0] https://developers.cloudflare.com/waf/change-log/changelog/
[1] https://gitlab.alpinelinux.org/groups/alpine/-/work_items?sh...
- bwoebi
Para todos los que se preguntan por qué el parche aún no ha salido:
Hay un puñado de personas responsables de hacer un lanzamiento. Todavía están dormidas.
Para ser honesto, también me sorprende que el exploit se publicara tan rápido, después del vídeo filtrado (que fue la razón por la que se hizo el anuncio en primer lugar, a esa hora concreta). Esperábamos algo más de tiempo, incluso con los LLMs...
- redox99
El exploit ya está fuera. Sí, esto pinta que va a pasar a la historia como la peor vulnerabilidad de todos los tiempos. Y ahora con los LLMs probablemente verás decenas de miles de agentes hackeando cualquier sitio web de PHP por ahí en cuestión de horas.
- dawnerd
Lo probé en un sitio personal, fui capaz de volcar la base de datos entera. Apagué todos mis sitios de inmediato. Esto es grave.
- Gigachad
El vídeo de demostración ha estado circulando por Twitter hoy y al parecer la prueba de concepto también se está compartiendo en privado. El vídeo muestra pegar algo en la URL y luego obtener una shell en el servidor. Parece completamente catastrófico.
Creo que el mejor curso de acción es simplemente apagar tu servidor antes de que el parche salga a la luz y luego volver a levantarlo después de haberlo parcheado.