Vulnerabilidades PHP CVE-2026-109618 y CVE-2026-109619

El pasado míercoles 21 de octubre saltaba la noticia de la existencia de dos vulnerabilidades críticas en PHP, identificadas con los CVE-2026-109618  y CVE-2026-109619

Desde el soporte de datomedia se están aplicando las medidas necesarias para mitigarlas en todos los servicios administrados por nosotros.
En algunos casos la mitigación podría no ser visible directamente analizando el número de versión php o un scanner externo.
Si tienes dudas sobre tu servicio, no dudes en abrirnos un ticket de soporte.

¿En que consisten estas vulnerabilidades?

1. CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) – RCE vía Corrupción de Memoria por OOM: Ocurre cuando un fallo por falta de memoria (Out-Of-Memory) interrumpe a PHP mientras inicializa los datos de una petición. Al limpiar la petición, se pueden procesar datos corruptos o no inicializados.
   
   

2. CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp) – RCE vía Estado Global Residual: Ciertos datos internos de una petición pueden persistir en memoria tras ser liberados, permitiendo que una petición posterior en el mismo worker utilice ese estado residual.