CVE-2026-109618: corrupción de memoria en PHP permite RCE sin autenticación

CVE-2026-109618: corrupción de memoria en PHP habilitaría ejecución remota de código sin autenticación

CISA incorporó el 26 de octubre de 2026 la vulnerabilidad CVE-2026-109618 al catálogo de Vulnerabilidades Explotadas Activamente (KEV). Se trata de una falla de corrupción de memoria en PHP (PHP Group) con puntaje CVSS 9.8 (CRÍTICO). Según CISA, permite ejecución remota de código (RCE) sin autenticación. La explotación activa está confirmada por su inclusión en KEV; el uso en campañas de ransomware figura como desconocido.

Análisis Técnico

CISA describe el problema como una condición de corrupción de memoria por falta de memoria (out-of-memory). Los CWE asociados apuntan a varias clases de error combinadas:

CWE-416: uso de memoria después de liberarla (use-after-free).
CWE-755: manejo incorrecto de condiciones excepcionales.
CWE-824: acceso a un puntero no inicializado.
CWE-1325: asignación de memoria controlada de forma insuficiente.
CWE-1419: inicialización incorrecta de recursos.

Vector de Ataque

El vector es de red y sin autenticación: un atacante remoto que alcance una aplicación PHP expuesta puede provocar la condición de memoria insuficiente y corromper el estado interno del intérprete, con el objetivo de ejecutar código arbitrario. Este análisis se basa en el feed KEV; los detalles de explotación no han sido ampliados aquí y no se especulan más allá de las fuentes oficiales.

Impacto Operacional y de Seguridad

Compromiso total del servidor web con los privilegios del proceso PHP.
Robo de credenciales, bases de datos y secretos de aplicación; movimiento lateral.
Instalación de webshells, mineros o cargas de ransomware.
Al ser PHP un componente open source reutilizado por numerosos productos (CMS, frameworks, paneles), el alcance puede ser muy amplio.

Productos Afectados

PHP Group / PHP. CISA indica que afecta a un componente de código abierto que puede ser usado por distintos productos. Las versiones exactas afectadas y corregidas deben confirmarse en el aviso oficial de PHP y en la ficha de NVD.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones/parches del proveedor de inmediato según las instrucciones de PHP.
Inventariar todos los activos con PHP (incluido PHP embebido en productos de terceros) y priorizar los expuestos a Internet.
Seguir la directiva BOD 26-04 de CISA y sus requisitos de Forensics Triage; plazo para agencias FCEB: 29 de octubre de 2026.
Revisar logs y procesos en busca de indicios de compromiso (webshells, procesos hijo anómalos de PHP, caídas por falta de memoria).
Si no hay mitigación disponible, restringir el acceso con WAF/segmentación o discontinuar el uso del producto afectado.