Alerta de Seguridad: Vulnerabilidades críticas en PHP (CVE-2026-109618 / CVE-2026-109619) – Cómo proteger tu servidor

Se han hecho públicas dos vulnerabilidades críticas que afectan al núcleo del lenguaje PHP (CVE-2026-109618 y CVE-2026-109619). El fallo está relacionado con la gestión de peticiones multipart cuando se encuentra habilitada la funcionalidad de seguimiento de subida de sesiones (session.upload_progress).

En servidores que no cuenten con la protección adecuada, esta brecha puede facilitar la ejecución remota de código no autorizado. Si administras un servidor propio (VPS o Servidor Dedicado), te indicamos cómo comprobar tu estado y qué medidas aplicar de inmediato.

---

1. Comprobación de estado en tu servidor

Dado que la mayoría de servidores de hosting disponen de múltiples versiones de PHP instaladas a la vez (7.4, 8.1, 8.2, 8.3...), es fundamental verificar el estado en todas ellas y no solo en la que responde por defecto en la consola.

Puedes escanear todas las versiones instaladas simultáneamente ejecutando el comando correspondiente a tu entorno:

En servidores cPanel (versiones EasyApache ea-php):

for php in /opt/cpanel/ea-php*/root/usr/bin/php; do
    [ -x "$php" ] && echo -n "$php: " && $php -i 2>/dev/null | grep "session.upload_progress.enabled"
done

En servidores con CloudLinux (versiones PHP Selector alt-php):

for php in /opt/alt/php*/usr/bin/php; do
    [ -x "$php" ] && echo -n "$php: " && $php -i 2>/dev/null | grep "session.upload_progress.enabled"
done

En servidores Debian / Ubuntu (entornos multi-PHP):

for php in /usr/bin/php[0-9].*; do
    [ -x "$php" ] && echo -n "$php: " && $php -i 2>/dev/null | grep "session.upload_progress.enabled"
done

• Si alguna versión muestra session.upload_progress.enabled => On, esa versión concreta está expuesta.
• El objetivo tras aplicar la mitigación es que todas muestren session.upload_progress.enabled => Off.

---

2. Acciones de mitigación recomendadas

A) Desactivación preventiva en PHP (Recomendado)

Mientras se publican los binarios definitivos por parte de los repositorios de cada distribución, se recomienda forzar la directiva a Off:

Si utilizas cPanel con CloudLinux:

# Desactivar en CloudLinux alt-php
for phpdir in /opt/alt/php*/etc/php.d; do
    [ -d "$phpdir" ] && echo "session.upload_progress.enabled = Off" > "$phpdir/cve-mitigation.ini"
done

# Desactivar en EasyApache ea-php
for eaphp in /opt/cpanel/ea-php*/root/etc/php.d; do
    [ -d "$eaphp" ] && echo "session.upload_progress.enabled = Off" > "$eaphp/cve-mitigation.ini"
done

# Recargar servicios
/usr/local/cpanel/scripts/restartsrv_apache_php_fpm
systemctl reload httpd

Si utilizas un servidor Linux clásico (LAMP / Debian / AlmaLinux):
Edita tu archivo php.ini principal, localiza la directiva y establécela en:

session.upload_progress.enabled = Off

Posteriormente reinicia tu servidor web o PHP-FPM (ejemplo: systemctl restart php-fpm).

B) Protección perimetral con WAF (Imunify360 / ModSecurity)

Si tu servidor utiliza Imunify360, comprueba que ya tienes cargada la regla de bloqueo que intercepta las herramientas de explotación conocidas:

grep -rn "109618" /etc/apache2/conf.d/modsec_vendor_configs/ 2>/dev/null

Si no obtienes resultado, fuerza la actualización inmediata de firmas con:

/usr/local/cpanel/scripts/modsec_vendor update --auto

---

3. Actualización de paquetes de software

A lo largo de las próximas horas, las distribuciones liberarán las versiones parcheadas oficiales. Comprueba la disponibilidad de paquetes con:

# En AlmaLinux / CloudLinux / RHEL:
dnf check-update php* alt-php* ea-php*

# En Debian / Ubuntu:
apt update && apt list --upgradable | grep php

Si necesitas asistencia técnica adicional o tienes dudas sobre la configuración de tu servidor, puedes contactar con nuestro equipo de soporte abriendo un ticket desde tu área de cliente.

Comprobación de paquetes PHP instalados y verificación de parches

Una vez aplicadas las mitigaciones o actualizaciones, es imprescindible verificar por consola y mediante el registro de cambios (changelog) de RPM si los binarios en ejecución cuentan efectivamente con la protección frente a CVE-2026-109618 y CVE-2026-109619 (fallos críticos de corrupción de memoria y parseador multipart conocidos como php2shell).

1. Identificación de versiones instaladas (RPM)

Para inspeccionar qué paquetes y versiones exactas de PHP (tanto de EasyApache 4 como de CloudLinux ALT-PHP) están instalados en el sistema, ejecuta:

# Para servidores con CloudLinux / TuxCare ELS (alt-php):
rpm -q alt-php56 alt-php74 alt-php80 alt-php81 alt-php82 alt-php83 alt-php84 2>/dev/null | grep -v "not installed"

# Para servidores cPanel con EasyApache 4 estándar (ea-php):
rpm -qa "ea-php*-php-common" | sort

2. Tabla de referencia de versiones corregidas

A continuación se detallan las revisiones mínimas de compilación que integran la solución en binario suministrada por los canales de CloudLinux / TuxCare ELS y distribución oficial:

Versión PHP	Revisión Mínima Parcheada (EL7)	Revisión Mínima Parcheada (EL9)	Revisión Mínima Parcheada (EasyApache)
PHP 5.6	alt-php56-5.6.40-147.el7	alt-php56-5.6.40-147.el9
PHP 7.4	alt-php74-7.4.33-81.el7	alt-php74-7.4.33-81.el9
PHP 8.0	alt-php80-8.0.30-69.el7	alt-php80-8.0.30-69.el9
PHP 8.1
PHP 8.2			ea-php82-php-common-8.2.35-1.1.1.cpanel
PHP 8.3	alt-php83-8.3.35-6.el7	alt-php83-8.3.35-6.el9	ea-php83-php-common-8.3.36-1.1.1.cpanel
PHP 8.4			ea-php84-php-common-8.4.27-1.1.1.cpanel
PHP 8.5			ea-php85-php-common-8.5.12-1.1.1.cpanel

3. Extracción de evidencias mediante Changelog

Para auditoría y cumplimiento de seguridad (SOC / Ciberseguridad), el método definitivo para probar que el paquete mitiga la vulnerabilidad es consultar su historial de cambios oficial registrado en el gestor de paquetes:

# Comprobar changelog en PHP 7.4 (Para EasyApache)
rpm -q --changelog ea-php74 | head -n 12

# Comprobar changelog en PHP 5.6: (Para versiones con ClodLinux o Tuxcare)
rpm -q --changelog alt-php56 | head -n 12

Salida esperada (evidencia de parche válido):

* Wed Oct 21 2026 CloudLinux Packaging Team <packager@cloudlinux.com>
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator
  and the multipart request parser - report allocation failures without
  re-entering the engine, and take substring_conf()'s length as size_t.
  Also disables the session upload-progress callback, as upstream does on the
  EOL branches - session.upload_progress.enabled no longer has any effect.