CCN-CERT AL 11/26

PHP CVE-2026-109618 y CVE-2026-109619 · ejecución remota de código sin autenticación · CVSS 9.2 · actualizar a PHP 8.5.12 / 8.4.27 / 8.3.36 · aislar aplicaciones web expuestas si no es posible parchear de inmediato · PHP 8.1 y anteriores sin parche oficial · 21 oct 2026

// a quién afectaCualquier empresa con un sitio web o aplicación que funcione sobre PHP, incluyendo WordPress, Prestashop, Joomla, Drupal y otras plataformas web comunes.

No hemos podido consultar la fuente original completa: este análisis se basa solo en el titular y evita dar detalles que no estén confirmados.

01Qué ha pasado

El Centro Criptológico Nacional (CCN-CERT) ha publicado la alerta AL 11/26 con instrucciones específicas para España sobre las vulnerabilidades críticas CVE-2026-109618 y CVE-2026-109619 en PHP, que permiten ejecutar código de forma remota sin autenticación. El CCN-CERT especifica las versiones corregidas: PHP 8.5.12, 8.4.27 y 8.3.36. La alerta señala que PHP 8.1 y versiones anteriores no recibirán parche oficial y que las aplicaciones web expuestas deben aislarse si no es posible parchear de inmediato.

02Información crítica para el sector

CVE-2026-109618 y CVE-2026-109619: ejecución remota de código sin credenciales en PHP, CVSS 9,2. Cualquier servidor web con PHP expuesto a Internet en versión vulnerable puede ser comprometido.
Las versiones corregidas publicadas son PHP 8.5.12, 8.4.27 y 8.3.36. PHP 8.1 y versiones anteriores NO recibirán parche oficial: son vulnerables de forma permanente.
El CCN-CERT, organismo oficial de ciberseguridad en España, emite esta alerta para el entorno nacional con instrucciones específicas de actuación.
WordPress, Prestashop, Joomla, Drupal y la mayoría de plataformas web funcionan sobre PHP: si el servidor usa cualquiera de ellas, probablemente tenga PHP instalado.
Si no es posible parchear de inmediato, el CCN-CERT indica aislar las aplicaciones web expuestas para reducir la superficie de ataque.

03Qué hacer ahora

01
Identificar qué versión de PHP usa el servidor web o el hosting
Consulta con IT o con el proveedor de hosting qué versión de PHP tienen instalada. La versión aparece en el panel de control del hosting o en la documentación del proveedor.
02
Verificar si la versión está en el rango vulnerable
Si la versión instalada es anterior a PHP 8.3.36, 8.4.27 o 8.5.12, la instalación es vulnerable. Si es PHP 8.1 o anterior, no hay parche disponible.
03
Actualizar PHP a la versión corregida
Pide a IT o al proveedor de hosting que actualice PHP a 8.5.12, 8.4.27 o 8.3.36 según la rama instalada. La actualización es urgente dado que hay exploits disponibles.
04
Aislar las aplicaciones web si no es posible parchear
Si el proveedor de hosting no puede actualizar de inmediato, pide que aíslen la aplicación web (modo mantenimiento o restricción de acceso) para reducir la exposición hasta que se aplique el parche.
05
Planificar la migración si usas PHP 8.1 o anterior
PHP 8.1 y anteriores están fuera del soporte de seguridad y no recibirán parche para estas vulnerabilidades. Consulta con IT o el proveedor de hosting la migración a PHP 8.3 o superior.

// fuentes: www.ccn-cert.cni.es

04¿Qué podemos hacer?

// si ya te ha pasado

Aislar el servidor web afectado, revisar los logs de acceso en busca de peticiones que exploten estas vulnerabilidades y cambiar las credenciales de la base de datos.
Verificar que no se han añadido ficheros no autorizados en el servidor antes de ponerlo en marcha de nuevo.
Notificar a la Agencia Española de Protección de Datos si se accedió a datos personales (obligatorio en 72 horas según el RGPD).

// antes de que ocurra

Revisar periódicamente la versión de PHP del servidor web y actualizar a versiones con soporte activo de seguridad.
Contratar un hosting con actualizaciones automáticas de PHP o con soporte de aplicación de parches urgente ante alertas del CCN-CERT.
Suscribirse a las alertas del CCN-CERT para recibir avisos críticos aplicables al entorno tecnológico de la empresa.