Alerta de Seguridad: PHP - RCE sin autenticación (CVE-2026-109618)

// resumen_ejecutivo

CVE-2026-109618 (CVSS 9.8): corrupción de memoria en PHP permite RCE sin autenticación. Explotada activamente (CISA KEV). Fecha límite FCEB 29-oct-2026.

// descripcion_detallada

CISA agregó el 26-10-2026 al catálogo KEV la vulnerabilidad CVE-2026-109618 en PHP (PHP Group), CVSS 9.8 CRÍTICO. Es una corrupción de memoria por condición de memoria insuficiente que permite ejecución remota de código sin autenticación.

CWE: 416, 755, 824, 1325, 1419.
Afecta un componente open source reutilizado por múltiples productos.
Uso en ransomware: desconocido.
Fecha límite FCEB: 29-10-2026.

// vectores_de_ataque

Red, sin autenticación: ejecución remota de código (RCE) mediante corrupción de memoria en PHP.

// versiones_afectadas

Consultar aviso oficial de PHP y NVD

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-109618

// recomendaciones_de_mitigacion

Aplicar mitigaciones/parches del proveedor (PHP) de inmediato.
Inventariar y priorizar activos PHP expuestos a Internet, incluido PHP embebido en productos de terceros.
Cumplir BOD 26-04 y requisitos de Forensics Triage de CISA.
Revisar logs/procesos por signos de compromiso (webshells, procesos hijos anómalos).
Sin mitigación disponible: restringir acceso (WAF/segmentación) o discontinuar el producto.