PHP corrige dos vulnerabilidades críticas que permitían ejecutar código sin autenticarse
PHP Foundation's Overview of CVE-2026-109618 and CVE-2026-109619
PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos fallos críticos de ejecución remota de código: uno por corrupción de memoria al alcanzar el memory_limit y otro por estado obsoleto tras un error fatal. La Fundación PHP reconoce que la demora en la solución fue un fallo estructural de su proceso de decisión y de recursos, y detalla cómo una filtración y la ruptura del embargo por parte de Chainguard precipitaron el anuncio.
No vamos a fingir lo contrario: la demora fue un fallo estructural, causado tanto por el proceso de decisión del equipo de seguridad como por su falta de recursos.