Cada CVE del motor de PHP con una versión de corrección, por rama (y cuáles se explotan)

PHP retroporta las correcciones por rama, así que 'actualiza a la última versión' es la comprobación equivocada. Aquí está cada CVE del motor en el feed con la versión de corrección para 8.1, 8.2, 8.3, 8.4 y 8.5, qué SAPI requiere y cuáles cuatro están en CISA KEV, incluidos los dos use-after-free de octubre de 2026.

Publicado el 2026-10-28 · datos: feed de phpwarden 2026.10.28.1 (generado el 2026-10-27) · fuentes: OSV.dev, FriendsOfPHP, NVD, CISA KEV, FIRST EPSS

Por qué "actualiza a la última versión de PHP" es la comprobación equivocada

PHP envía las correcciones de seguridad a todas las ramas soportadas a la vez. Un CVE corregido en 8.3.36 también está corregido en 8.2.35 y 8.4.27 — y no está corregido en 8.3.35. Así que la pregunta para un host nunca es "¿estás en 8.5?" sino "¿está tu 8.3.x en o por encima de la corrección de 8.3?". Y una rama que ha llegado al fin de su vida útil (7.1, 7.2, 7.3, 8.0, 8.1) no tiene versión de corrección alguna: un host en ella queda expuesto a cada CVE publicado después de su última versión, para siempre.

Varios de estos también se aplican solo a una SAPI. CVE-2019-11043 requiere PHP-FPM detrás de nginx con una configuración errónea concreta; los de CGI requieren php-cgi, y CVE-2024-4577 requiere Windows. phpwarden los reporta como posiblemente expuestos con la condición a comprobar, en lugar de como un acierto seguro.

Cada CVE del motor en el feed, con la versión de corrección por rama

"—" significa que la rama no tiene corrección: o bien no estaba afectada, o bien ya había llegado al fin de su vida útil cuando se publicó el CVE.

Los 4 en CISA KEV

• CVE-2026-109618 — Upload-progress use-after-free and remote process-memory disclosure (publicado 2026-10-21, EPSS 100%)
• CVE-2026-109619 — Fatal-error backtrace use-after-free and OPcache type confusion (publicado 2026-10-21, EPSS 100%)
• CVE-2024-4577 — PHP-CGI argument injection to RCE on Windows via Best-Fit encoding (publicado 2024-06-06, EPSS 100%)
• CVE-2019-11043 — PHP-FPM remote code execution via env_path_info buffer underflow (publicado 2019-10-24, EPSS 100%)

Dos de ellos se publicaron el 2026-10-21 y estaban en KEV en menos de una semana. Ambos son use-after-free alcanzables de forma remota en configuraciones FPM habituales, ambos tienen correcciones en todas las ramas soportadas, y ninguno tiene corrección para 8.1 o anteriores.

Qué hacer

1. Compruebe la rama, no la versión mayor. phpwarden scan detecta automáticamente la versión, la SAPI y el SO del host y los compara con la versión de corrección de esa rama; phpwarden scan --version 8.2.34 --sapi fpm --os linux lo hace para una versión que usted indique.
2. Salga primero de las ramas que han llegado al fin de su vida útil. Es el único elemento de esta página sin parche.
3. Para los hosts FPM que no puede parchear hoy, el demonio de guardia vigila los workers en busca de explotación de corrupción de memoria en curso y los recicla — una medida provisional, no una corrección.

composer require --dev phpwarden/phpwarden   # PHP projects → vendor/bin/phpwarden
vendor/bin/phpwarden deps composer.lock      # Composer
vendor/bin/phpwarden scan                    # PHP engine on this host
vendor/bin/phpwarden wordpress /var/www/html # WordPress core, plugins, themes

Método: consulte el análisis del feed completo para las fuentes y advertencias. El EPSS es una probabilidad de explotación a 30 días a la fecha del feed; la pertenencia a KEV es a la fecha del feed. Explore todo en /advisories.