Transparencia

Afirmaciones verificadas

• Ambas vulnerabilidades tienen un puntaje CVSS de 9.2, indicando un alto riesgo de explotación.

  Estado: Verificada (fuente primaria)

• CrowdStrike describe CVE-2026-109619 como un estado global obsoleto que puede apuntar a memoria de una petición ya liberada, lo que permite su reutilización en una petición posterior dentro del mismo proceso trabajador.

  Estado: Verificada (fuente primaria)

• El Centro Canadiense de Ciberseguridad identificó que las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 afectan al núcleo de PHP, provocando corrupción de memoria y permitiendo la ejecución remota de código sin autenticación.

  Estado: Verificada (fuente primaria)

• El equipo de CERT-EU publicó que las correcciones se aplicaron el 21 de octubre de 2026 a las 13:30 UTC.

  Estado: Verificada (fuente primaria)

• El hilo de Reddit afirma que un modelo de frontera descubrió las vulnerabilidades usando el prompt ‘find bad vulnerabilities in PHP’, pero no se dispone de evidencia primaria que confirme dicha afirmación.

  Estado: Atribuida a una sola fuente · Requiere atribución

• Las versiones afectadas son PHP 8.5.x antes de 8.5.12, 8.4.x antes de 8.4.27, 8.3.x antes de 8.3.36 y 8.2.x antes de 8.2.35.

  Estado: Verificada (fuente primaria)

• Las vulnerabilidades están clasificadas como Use After Free (CWE-416), lo que facilita la explotación.

  Estado: Verificada (fuente primaria)

• Según CrowdStrike, CVE-2026-109618 resulta de una asignación de memoria fallida durante el análisis de la petición que deja datos sin inicializar, y la rutina de limpieza puede leerlos.

  Estado: Verificada (fuente primaria)