{"id":10075,"date":"2026-10-21T19:29:31","date_gmt":"2026-10-21T17:29:31","guid":{"rendered":"https:\/\/hosting.airetech.es\/blog\/?p=10075"},"modified":"2026-10-22T09:49:21","modified_gmt":"2026-10-22T07:49:21","slug":"alerta-de-seguridad-vulnerabilidades-criticas-en-php-cve-2026-109618-cve-2026-109619-como-proteger-tu-servidor","status":"publish","type":"post","link":"https:\/\/hosting.airetech.es\/blog\/ciberseguridad\/alerta-de-seguridad-vulnerabilidades-criticas-en-php-cve-2026-109618-cve-2026-109619-como-proteger-tu-servidor\/","title":{"rendered":"Alerta de Seguridad: Vulnerabilidades cr\u00edticas en PHP (CVE-2026-109618 \/ CVE-2026-109619) \u2013 C\u00f3mo proteger tu servidor"},"content":{"rendered":"\n<p>Se han hecho p\u00fablicas dos vulnerabilidades cr\u00edticas que afectan al n\u00facleo del lenguaje PHP (<strong>CVE-2026-109618<\/strong> y <strong>CVE-2026-109619<\/strong>). El fallo est\u00e1 relacionado con la gesti\u00f3n de peticiones <em>multipart<\/em> cuando se encuentra habilitada la funcionalidad de seguimiento de subida de sesiones (<code>session.upload_progress<\/code>).<\/p>\n\n\n\n<p>En servidores que no cuenten con la protecci\u00f3n adecuada, esta brecha puede facilitar la ejecuci\u00f3n remota de c\u00f3digo no autorizado. Si administras un servidor propio (VPS o Servidor Dedicado), te indicamos c\u00f3mo comprobar tu estado y qu\u00e9 medidas aplicar de inmediato.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h3 class=\"wp-block-heading\">1. Comprobaci\u00f3n de estado en tu servidor<\/h3>\n\n\n\n<p>Dado que la mayor\u00eda de servidores de hosting disponen de m\u00faltiples versiones de PHP instaladas a la vez (7.4, 8.1, 8.2, 8.3...), es fundamental verificar el estado en <strong>todas ellas<\/strong> y no solo en la que responde por defecto en la consola.<\/p>\n\n\n\n<p>Puedes escanear todas las versiones instaladas simult\u00e1neamente ejecutando el comando correspondiente a tu entorno:<\/p>\n\n\n\n<p><strong>En servidores cPanel (versiones EasyApache ea-php):<\/strong><\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>for php in \/opt\/cpanel\/ea-php*\/root\/usr\/bin\/php; do\n    &#91; -x \"$php\" ] &amp;&amp; echo -n \"$php: \" &amp;&amp; $php -i 2&gt;\/dev\/null | grep \"session.upload_progress.enabled\"\ndone<\/code><\/pre>\n\n\n\n<p><strong>En servidores con CloudLinux (versiones PHP Selector alt-php):<\/strong><\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>for php in \/opt\/alt\/php*\/usr\/bin\/php; do\n    &#91; -x \"$php\" ] &amp;&amp; echo -n \"$php: \" &amp;&amp; $php -i 2&gt;\/dev\/null | grep \"session.upload_progress.enabled\"\ndone<\/code><\/pre>\n\n\n\n<p><strong>En servidores Debian \/ Ubuntu (entornos multi-PHP):<\/strong><\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>for php in \/usr\/bin\/php&#91;0-9].*; do\n    &#91; -x \"$php\" ] &amp;&amp; echo -n \"$php: \" &amp;&amp; $php -i 2&gt;\/dev\/null | grep \"session.upload_progress.enabled\"\ndone<\/code><\/pre>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Si alguna versi\u00f3n muestra <code>session.upload_progress.enabled =&gt; On<\/code>, esa versi\u00f3n concreta est\u00e1 expuesta.<\/li>\n\n\n\n<li>El objetivo tras aplicar la mitigaci\u00f3n es que todas muestren <code>session.upload_progress.enabled =&gt; Off<\/code>.<\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h3 class=\"wp-block-heading\">2. Acciones de mitigaci\u00f3n recomendadas<\/h3>\n\n\n\n<h4 class=\"wp-block-heading\">A) Desactivaci\u00f3n preventiva en PHP (Recomendado)<\/h4>\n\n\n\n<p>Mientras se publican los binarios definitivos por parte de los repositorios de cada distribuci\u00f3n, se recomienda forzar la directiva a <code>Off<\/code>:<\/p>\n\n\n\n<p><strong>Si utilizas cPanel con CloudLinux:<\/strong><\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Desactivar en CloudLinux alt-php\nfor phpdir in \/opt\/alt\/php*\/etc\/php.d; do\n    &#91; -d \"$phpdir\" ] &amp;&amp; echo \"session.upload_progress.enabled = Off\" &gt; \"$phpdir\/cve-mitigation.ini\"\ndone\n\n# Desactivar en EasyApache ea-php\nfor eaphp in \/opt\/cpanel\/ea-php*\/root\/etc\/php.d; do\n    &#91; -d \"$eaphp\" ] &amp;&amp; echo \"session.upload_progress.enabled = Off\" &gt; \"$eaphp\/cve-mitigation.ini\"\ndone\n\n# Recargar servicios\n\/usr\/local\/cpanel\/scripts\/restartsrv_apache_php_fpm\nsystemctl reload httpd<\/code><\/pre>\n\n\n\n<p><strong>Si utilizas un servidor Linux cl\u00e1sico (LAMP \/ Debian \/ AlmaLinux):<\/strong><br \/>Edita tu archivo <code>php.ini<\/code> principal, localiza la directiva y establ\u00e9cela en:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>session.upload_progress.enabled = Off<\/code><\/pre>\n\n\n\n<p>Posteriormente reinicia tu servidor web o PHP-FPM (ejemplo: <code>systemctl restart php-fpm<\/code>).<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">B) Protecci\u00f3n perimetral con WAF (Imunify360 \/ ModSecurity)<\/h4>\n\n\n\n<p>Si tu servidor utiliza <strong>Imunify360<\/strong>, comprueba que ya tienes cargada la regla de bloqueo que intercepta las herramientas de explotaci\u00f3n conocidas:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>grep -rn \"109618\" \/etc\/apache2\/conf.d\/modsec_vendor_configs\/ 2&gt;\/dev\/null<\/code><\/pre>\n\n\n\n<p>Si no obtienes resultado, fuerza la actualizaci\u00f3n inmediata de firmas con:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>\/usr\/local\/cpanel\/scripts\/modsec_vendor update --auto<\/code><\/pre>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h3 class=\"wp-block-heading\">3. Actualizaci\u00f3n de paquetes de software<\/h3>\n\n\n\n<p>A lo largo de las pr\u00f3ximas horas, las distribuciones liberar\u00e1n las versiones parcheadas oficiales. Comprueba la disponibilidad de paquetes con:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># En AlmaLinux \/ CloudLinux \/ RHEL:\ndnf check-update php* alt-php* ea-php*\n\n# En Debian \/ Ubuntu:\napt update &amp;&amp; apt list --upgradable | grep php<\/code><\/pre>\n\n\n\n<p>Si necesitas asistencia t\u00e9cnica adicional o tienes dudas sobre la configuraci\u00f3n de tu servidor, puedes contactar con nuestro equipo de soporte abriendo un ticket desde tu \u00e1rea de cliente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Comprobaci\u00f3n de paquetes PHP instalados y verificaci\u00f3n de parches<\/h2>\n\n\n\n<p>Una vez aplicadas las mitigaciones o actualizaciones, es imprescindible verificar por consola y mediante el registro de cambios (changelog) de RPM si los binarios en ejecuci\u00f3n cuentan efectivamente con la protecci\u00f3n frente a <strong>CVE-2026-109618<\/strong> y <strong>CVE-2026-109619<\/strong> (fallos cr\u00edticos de corrupci\u00f3n de memoria y parseador multipart conocidos como <em>php2shell<\/em>).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1. Identificaci\u00f3n de versiones instaladas (RPM)<\/h3>\n\n\n\n<p>Para inspeccionar qu\u00e9 paquetes y versiones exactas de PHP (tanto de EasyApache 4 como de CloudLinux ALT-PHP) est\u00e1n instalados en el sistema, ejecuta:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Para servidores con CloudLinux \/ TuxCare ELS (alt-php):\nrpm -q alt-php56 alt-php74 alt-php80 alt-php81 alt-php82 alt-php83 alt-php84 2&gt;\/dev\/null | grep -v \"not installed\"\n\n# Para servidores cPanel con EasyApache 4 est\u00e1ndar (ea-php):\nrpm -qa \"ea-php*-php-common\" | sort<\/code><\/pre>\n\n\n\n<h3 class=\"wp-block-heading\">2. Tabla de referencia de versiones corregidas<\/h3>\n\n\n\n<p>A continuaci\u00f3n se detallan las revisiones m\u00ednimas de compilaci\u00f3n que integran la soluci\u00f3n en binario suministrada por los canales de <strong>CloudLinux \/ TuxCare ELS<\/strong> y distribuci\u00f3n oficial:<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes\"><table><thead><tr><th>Versi\u00f3n PHP<\/th><th>Revisi\u00f3n M\u00ednima Parcheada (EL7)<\/th><th>Revisi\u00f3n M\u00ednima Parcheada (EL9)<\/th><th>Revisi\u00f3n M\u00ednima Parcheada (EasyApache)<\/th><\/tr><\/thead><tbody><tr><td><strong>PHP 5.6<\/strong><\/td><td><code>alt-php56-5.6.40-147.el7<\/code><\/td><td><code>alt-php56-5.6.40-147.el9<\/code><\/td><td><\/td><\/tr><tr><td><strong>PHP 7.4<\/strong><\/td><td><code>alt-php74-7.4.33-81.el7<\/code><\/td><td><code>alt-php74-7.4.33-81.el9<\/code><\/td><td><\/td><\/tr><tr><td><strong>PHP 8.0<\/strong><\/td><td><code>alt-php80-8.0.30-69.el7<\/code><\/td><td><code>alt-php80-8.0.30-69.el9<\/code><\/td><td><\/td><\/tr><tr><td><strong>PHP 8.<\/strong>1<\/td><td><\/td><td><\/td><td><\/td><\/tr><tr><td><strong>PHP 8.<\/strong>2<\/td><td><\/td><td><\/td><td>ea-php82-php-common-8.2.35-1.1.1.cpanel<\/td><\/tr><tr><td><strong>PHP 8.3<\/strong><\/td><td><code>alt-php83-8.3.35-6.el7<\/code><\/td><td><code>alt-php83-8.3.35-6.el9<\/code><\/td><td>ea-php83-php-common-8.3.36-1.1.1.cpanel<\/td><\/tr><tr><td><strong>PHP 8.<\/strong>4<\/td><td><\/td><td><\/td><td>ea-php84-php-common-8.4.27-1.1.1.cpanel<\/td><\/tr><tr><td><strong>PHP 8.<\/strong>5<\/td><td><\/td><td><\/td><td>ea-php85-php-common-8.5.12-1.1.1.cpanel<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Nota: En ramas soportadas por EasyApache (ej. PHP 8.2 \/ 8.3), compruebe que cPanel actualice a versiones publicadas a partir del 21\/10\/2026.<\/em><\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">3. Extracci\u00f3n de evidencias mediante Changelog<\/h3>\n\n\n\n<p>Para auditor\u00eda y cumplimiento de seguridad (SOC \/ Ciberseguridad), el m\u00e9todo definitivo para probar que el paquete mitiga la vulnerabilidad es consultar su historial de cambios oficial registrado en el gestor de paquetes:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Comprobar changelog en PHP 7.4 (Para EasyApache)\nrpm -q --changelog ea-php74 | head -n 12\n\n# Comprobar changelog en PHP 5.6: (Para versiones con ClodLinux o Tuxcare)\nrpm -q --changelog alt-php56 | head -n 12<\/code><\/pre>\n\n\n\n<p><strong>Salida esperada (evidencia de parche v\u00e1lido):<\/strong><\/p>\n\n\n\n<pre class=\"wp-block-preformatted\">* Wed Oct 21 2026 CloudLinux Packaging Team &lt;packager@cloudlinux.com&gt;\n- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator\n  and the multipart request parser - report allocation failures without\n  re-entering the engine, and take substring_conf()'s length as size_t.\n  Also disables the session upload-progress callback, as upstream does on the\n  EOL branches - session.upload_progress.enabled no longer has any effect.<\/pre>\n","protected":false},"excerpt":{"rendered":"Se han hecho p\u00fablicas dos vulnerabilidades cr\u00edticas que afectan al n\u00facleo del lenguaje PHP (CVE-2026-109618 y CVE-2026-109619). El fallo est\u00e1 relacionado con la gesti\u00f3n de peticiones multipart cuando se encuentra habilitada la funcionalidad de seguimiento de subida de sesiones (session.upload_progress). En servidores que no cuenten con la protecci\u00f3n adecuada, esta brecha puede facilitar la ejecuci\u00f3n remota de c\u00f3digo no autorizado.&nbsp;<a href=\"https:\/\/hosting.airetech.es\/blog\/ciberseguridad\/alerta-de-seguridad-vulnerabilidades-criticas-en-php-cve-2026-109618-cve-2026-109619-como-proteger-tu-servidor\/\" class=\"read-more\">Seguir leyendo<\/a>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[799],"tags":[],"class_list":["post-10075","post","type-post","status-publish","format-standard","hentry","category-ciberseguridad","cat-799-id"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/posts\/10075","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/comments?post=10075"}],"version-history":[{"count":3,"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/posts\/10075\/revisions"}],"predecessor-version":[{"id":10079,"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/posts\/10075\/revisions\/10079"}],"wp:attachment":[{"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/media?parent=10075"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/categories?post=10075"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hosting.airetech.es\/blog\/wp-json\/wp\/v2\/tags?post=10075"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}