Los mantenedores de PHP publicaron correcciones de emergencia para CVE-2026-109618 y CVE-2026-109619. Ambas vulnerabilidades recibieron una puntuación de gravedad de 9,2 sobre 10. Pueden afectar a instalaciones de PHP que atienden peticiones web, incluidas versiones antiguas aún presentes en muchos servidores. Los investigadores advierten que un ataque podría ejecutar código remoto o leer memoria del proceso. Allí pueden quedar contraseñas, tokens y claves. Hubo informes de intentos iniciales de ataque antes de conocerse todos los detalles técnicos.
La tarea concreta para quien mantiene una web es averiguar qué versión de PHP corre realmente en el alojamiento, consultar el aviso y aplicar el parche adecuado. Actualizar WordPress u otra aplicación no actualiza por sí solo el intérprete de PHP. El soporte oficial cubre ramas desde PHP 8.2; una instalación anterior requiere un parche del proveedor o un plan de migración. Si no es posible actualizar pronto, los equipos de seguridad recomiendan aislar el servicio expuesto o retirarlo temporalmente de internet. El riesgo es amplio, pero usar una versión vulnerable no demuestra que todos los sitios ya hayan sufrido una intrusión.