Actualización sobre las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619
El 21 de octubre de 2026, la Fundación PHP anunció parches de seguridad para dos fallas críticas en PHP. Estas vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan a las implementaciones de PHP en servidores web y podrían dar lugar a la ejecución remota de código (RCE) en los sistemas afectados.
Detalles de la vulnerabilidad
| Campo | CVE-2026-109618 | CVE-2026-109619 |
| Reportado públicamente | 21 de octubre de 2026 | 21 de octubre de 2026 |
| Tipo | Ejecución remota de código (RCE) mediante corrupción por falta de memoria (OOM) | Ejecución remota de código (RCE) mediante estado global obsoleto |
| Gravedad | CVSS v4.0 9.2 (Crítica) | CVSS v4.0 9.2 (Crítica) |
| Arreglado en | PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 | PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 |
| Referencias | CVE-2026-109618 | CVE-2026-109619 |
Nuestra evaluación
Tras la divulgación, nuestros equipos de seguridad revisaron los productos de ManageEngine y la infraestructura de soporte y llegaron a las siguientes conclusiones:
Productos de ManageEngine: los productos de ManageEngine no utilizan PHP, por lo que ninguno de ellos se ve afectado por estas vulnerabilidades.
Contenido web público: algunos de nuestros blogs y páginas estáticas públicas están alojados en servidores web PHP. Estos se han actualizado a las versiones parcheadas de PHP.
Servicios internos: algunos de nuestros servicios internos utilizan el servidor web PHP. No son accesibles desde la Internet pública, lo que limita la exposición. Sin embargo, los hemos actualizado a la versión parcheada.
Repercusiones para los clientes y medidas necesarias
No se han identificado impactos en los datos de los clientes ni en la funcionalidad de los productos de ManageEngine. No es necesario que nuestros clientes tomen medidas. Tampoco hemos encontrado evidencia de que se haya aprovechado esta vulnerabilidad en nuestro entorno.
ManageEngine supervisa continuamente los avisos de seguridad y evalúa las posibles vulnerabilidades con el fin de salvaguardar la seguridad de sus servicios y la integridad de los datos de los clientes. Les notificaremos de inmediato cualquier hallazgo o cambio relevante.
Contacto
Si tienen preguntas, puede contactar a nuestro equipo de seguridad en security@manageengine.com.
