RealRisk calcula el riesgo inherente: severidad, probabilidad de explotación y si hay explotación confirmada, sin conocer tu entorno. Para saber si te afecta de verdad, usa el verificador cuando esté disponible. El riesgo residual, con tu exposición y tus controles, lo determinas tú.
| Recomendación | 🔴 Parchado inmediato Explotación activa confirmada, está en el catálogo CISA KEV. |
|---|---|
| Severidad de riesgo | Crítica (QDS 92/100) Explotación activa confirmada (CISA KEV): el riesgo se eleva sobre el CVSS. |
| Severidad inherente | Crítica (del CVSS base) |
| CVSS | 9.2 (versión 4.0, Crítica) CVSS 8.1 (versión 3.1) |
| Probabilidad de explotación (30 días) | 100.00% La urgencia viene de la explotación confirmada (KEV), no de este pronóstico. |
| ¿Explotación activa confirmada? | Sí, catálogo KEV de CISA |
🛡 Verificador disponible
nivel 2 · pasivo (local) / sonda GET benigna (remoto)
Determina la versión de PHP del objetivo y la compara con las builds corregidas (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12). En modo local inspecciona cada intérprete (CLI, php-fpm y el módulo de Apache por dpkg) y lee session.upload_progress.enabled; en modo remoto lee la versión del header X-Powered-By/Server con un GET. No gatilla el UAF.
Estado de la amenaza análisis
Divulgado el 21 de octubre de 2026, con los detalles filtrados antes de la fecha prevista. Ya se observan intentos de explotación en internet y hay pruebas de concepto funcionales en manos de investigadores; sin brechas confirmadas al momento de esta ficha.
Impacto de la explotación
Mismo efecto que su par CVE-2026-109618: un atacante sin autenticar puede lograr ejecución de código o leer memoria del proceso (estilo Heartbleed), exponiendo secretos y datos de otras peticiones y comprometiendo el servidor de forma independiente de la aplicación.
Análisis de la vulnerabilidad
| Requisitos de explotación | Solo acceso de red al servicio web. La condición se cumple con la configuración de fábrica (progreso de subida de sesión activo) y que el servidor acepte subidas multiparte. El mayor riesgo es con mod_php sobre Apache. |
|---|---|
| Sistemas y software afectados | Todas las instalaciones de PHP que atienden peticiones web anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12, en cualquier SAPI (mod_php de Apache, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed). Las ramas sin soporte 8.1, 8.0 y 7.4 también están afectadas. |
| Cómo funciona el ataque | El mismo patrón de memoria liberada aparece en otro estado persistente del núcleo: los backtraces de error fatal en PHP 8.5 y la memoria compartida de OPcache entre procesos. Un error rompe el emparejamiento entre reservar y liberar memoria, y peticiones posteriores reutilizan punteros inválidos, habilitando lectura de memoria ajena o ejecución de código. |
| Información de parchado | El equipo de PHP publicó parches el 21 de octubre de 2026 en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, disponibles en php.net y en los repositorios de las distribuciones. Actualizar es la única solución completa; las mitigaciones de configuración son parciales. |
Detalles técnicos
| Fecha de publicación | 21/10/2026 |
|---|---|
| Última actualización | 05/11/2026 |
| Vector CVSS | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
| Clasificación CWE |
CWE-416: Use After Free CWE-755: Improper Handling of Exceptional Conditions CWE-824: Access of Uninitialized Pointer CWE-1325: Improperly Controlled Sequential Memory Allocation |
Plazo de remediación (CISA KEV)
| Nombre de la vulnerabilidad | PHP Stale Internal Request-State Vulnerability |
|---|---|
| Proveedor / Producto | PHP Group · PHP |
| Conocido / explotado desde | 2026-10-26 (incorporación al catálogo KEV) |
| Fecha límite CISA | 2026-10-29 · vencido hace 11 días |
| Acción requerida por CISA | Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines. |
| Explotación observada | Primeros intentos de explotación observados alrededor del 21 de octubre de 2026, según reportes de proveedores de seguridad. |
Inteligencia de amenaza
| Uso en campañas de ransomware | Sin asociación a ransomware registrada por CISA |
|---|---|
| Actores / campañas atribuidas | Sin campañas atribuidas conocidas. |
| Indicadores de compromiso (IOCs) | Sin IOCs públicos conocidos. |
Referencias técnicas
- GitHub https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/21/16
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/21/17
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/21/23
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/21/7
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/22/14
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/22/15
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/22/16