CVE-2026-109619: estado interno obsoleto en PHP permite ejecución remota de código

CVE-2026-109619: estado interno obsoleto en PHP habilita ejecución remota de código

CISA incorporó el 26 de octubre de 2026 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) la falla CVE-2026-109619, una vulnerabilidad de estado interno de solicitud obsoleto (stale internal request-state) en PHP que permite ejecución remota de código (RCE) sin autenticación. Su inclusión en KEV confirma explotación activa. La puntuación CVSS enriquecida por NVD es 8.1 (ALTA). CISA no indica, por ahora, uso en campañas de ransomware (Unknown).

La fecha límite para agencias civiles federales (FCEB) es el 29 de octubre de 2026, solo tres días después de su inclusión, lo que refleja la urgencia bajo la directiva BOD 26-04.

Análisis Técnico

Los CWE asociados describen la naturaleza del defecto: CWE-416 (uso después de liberación), CWE-755 (manejo inadecuado de condiciones excepcionales), CWE-824 (acceso a puntero no inicializado), CWE-1325 (asignación de memoria controlada insuficiente) y CWE-1419 (inicialización incorrecta de recursos).

Vector de Ataque

El ataque es remoto y no requiere autenticación: basta enviar solicitudes HTTP a una aplicación PHP expuesta.
La combinación de CWE sugiere que el estado interno de una solicitud no se reinicia o se libera de forma incorrecta y luego se reutiliza, lo que puede corromper memoria y derivar en RCE.
Los detalles de explotación completos no están en las fuentes oficiales consultadas; no los especulamos aquí.

Impacto Operacional y de Seguridad

Ejecución de código arbitrario en el servidor web con los privilegios del proceso PHP.
Compromiso de datos de aplicaciones, credenciales y secretos de configuración.
Posible movimiento lateral y persistencia (webshells) desde servidores expuestos.
CISA señala que afecta un componente de código abierto reutilizado por múltiples productos, por lo que el alcance real puede extenderse a CMS, frameworks y appliances que embeben PHP.

Productos Afectados

PHP Group / PHP. Consulte el aviso de CISA y el sitio oficial de PHP para las versiones afectadas y corregidas; verifique también productos de terceros que incluyan su propio runtime PHP.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Inventariar todos los activos con PHP (servidores, contenedores, imágenes base, appliances) y evaluar su exposición a Internet.
Aplicar las actualizaciones y mitigaciones del fabricante con prioridad a los activos expuestos.
Cumplir la guía BOD 26-04 de CISA y sus requisitos de Forensics Triage: revisar indicios de compromiso previos al parche.
Buscar webshells, procesos hijos inusuales de php-fpm/apache2 y conexiones salientes anómalas.
Si no hay mitigación disponible, restringir el acceso con WAF/segmentación o discontinuar el uso del producto afectado.