Tecnología · 21 de octubre de 2026
RCE sin autenticación en PHP
Dos fallos en PHP permiten ejecución remota de código en cualquier SAPI que atienda HTTP. No hace falta autenticación. El riesgo más alto está en Apache con mod_php. La única corrección completa es actualizar.
Parche oficial del proyecto PHP
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Qué hay que saber
Impacto
RCE remota, sin autenticación
Quien llegue al sitio por HTTP puede ejecutar código en el servidor. No necesita usuario, sesión ni panel.
Superficie
SAPIs web
PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. CLI no es el vector.
Mayor riesgo
Apache + mod_php
El aviso del proyecto PHP señala ese empaquetado como el de exposición más alta.
Corrección
Actualizar. No hay atajo
No hay mitigación de configuración que reemplace el parche. Hay que subir de versión y reiniciar el proceso web.
Matriz de versiones
Compare la rama que corre el sitio con la versión mínima que el proyecto PHP publicó hoy. Un número menor, en la misma rama, no trae el parche.
| Rama | Versión con parche | Estado |
|---|---|---|
| PHP 8.5 | 8.5.12 |
Parcheada |
| PHP 8.4 | 8.4.27 |
Parcheada |
| PHP 8.3 | 8.3.36 |
Parcheada |
| PHP 8.2 | 8.2.35 |
Parcheada |
| PHP 8.1 y anteriores | — | Sin release oficial |
Cómo confirmar la versión expuesta
php -v solo habla del CLI. El proceso que atiende HTTP puede ser otro binario o otro paquete.
php -v
php-fpm8.4 -vEn el vhost, confirme también qué socket o módulo usa Apache o nginx. Si el sitio corre por PHP-FPM, esa es la versión que importa. Si Apache carga mod_php, importa la del módulo, no la del CLI.
Qué hacer ahora
- Identifique la SAPI real: PHP-FPM,
mod_phpu otra SAPI web. - Si está en 8.5, 8.4, 8.3 u 8.2, actualice a
8.5.12,8.4.27,8.3.36o8.2.35, según la rama que ya opera. - Si está en 8.1 o anterior, el proyecto PHP no publica una versión nueva. Pase a una rama que sí recibe el parche.
- Si el PHP lo entrega la distribución, lea el aviso del vendor. El paquete puede estar corregido sin mostrar exactamente esos números.
- Reinicie PHP-FPM o Apache para que el vhost deje de usar el binario anterior.
- Vuelva a leer la versión del proceso que sirve HTTP, no solo la del CLI.
Notas para quien opera el servidor
PHP entregó el arreglo con anticipación a las distribuciones y a los proveedores de soporte extendido. En Ubuntu, Debian, RHEL y equivalentes, el número de paquete puede diferir del de php.net; el criterio es el aviso de seguridad del repositorio, no solo php -v.
El repositorio voluntario rpms.remirepo.net no debía esperarse el mismo día: PHP pidió pasar a paquetes de la distribución o compilar desde el código.
Para 7.4, 8.0 y 8.1 existe un backport mínimo de código fuente, dirigido a quien compila o no tiene soporte extendido. No es una rama soportada. La recomendación del proyecto sigue siendo operar en 8.2 o superior, ya parcheada.
Fuentes oficiales
Tekambra revisa proyectos Laravel y servidores Linux. Si este aviso corresponde a un sitio en operación, plantee esa revisión en la línea de tecnología.