CVE-2026-109618

Estado: ModificadaCrítica (9.2)—Exploit

Gravedad9.2Crítica · CVSS 4.0

Probabilidad de explotación—en los próximos 30 días

Explotación activaNono figura en el catálogo de CISA

Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada) · Plantilla de Nuclei (detección automática y masiva)

Noticias y reportajes en Orbitaley

PHP utiliza longjmp() para los errores de falta de memoria (OOM) con el fin de salir del contexto actual y abortar el procesamiento de la solicitud. Algunos contextos pueden no contabilizar correctamente este escenario y dejar la memoria de la solicitud en un estado no inicializado antes de realizar una asignación. El procedimiento posterior de limpieza de la solicitud puede leer o bifurcar según esa memoria. Varias estrategias de OOM pueden desencadenar de forma consistente esta condición y provocar una ejecución remota de código (RCE).

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 9.2
Versión: 4.0
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

Plantilla de Nuclei (detección automática y masiva) · PHP2Shell (CVE-2026-109618/CVE-2026-109619) - Vulnerable Version Detection
Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Cobertura en medios

Medios especializados en seguridad que han citado esta CVE:

Dailysecu · 티오리, 치명적 PHP 취약점 ‘PHP2Shell’ 재현·검증 완료…긴급 대응 방안 공개 (22/10/2026)
Dailysecu · “전 세계 2,200만 PHP 인스턴스 노출…국내 기업 보안 대응 시급” (22/10/2026)
Bitlifemedia · Detectan dos fallos críticos de seguridad en PHP que afectan a millones de páginas web (22/10/2026)
Orbitaley · php2shell: dos fallos en el núcleo de PHP obligan a parchear a toda prisa y apagan webs públicas en media Europa (22/10/2026)
UnderNews · Deux failles critiques affectant PHP (22/10/2026)
Borns IT- und Windows-Blog · php2shell: PHP-Updates und Nachlese (22/10/2026)
JPCERT/CC (日本語) · 注意喚起: PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (公開) (22/10/2026)
Ciberseguridad LATAM · PHP2Shell: dos fallas críticas en el núcleo de PHP explotadas antes de su divulgación pública (22/10/2026)
JVN · PHPにおける複数の任意のコードが実行可能な脆弱性（CVE-2026-109618、CVE-2026-109619） (22/10/2026)
Zscaler ThreatLabz · CVE-2026-109618 and CVE-2026-109619: PHP Vulnerable to Unauthenticated RCE Attacks (21/10/2026)
Dailysecu · [긴급] PHP ‘PHP2Shell’ 치명적 취약점 2건…인증 없이 원격 코드 실행 위험 (21/10/2026)
CISO Advisor · PHP2Shell: correções chegam com primeiras explorações (21/10/2026)

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1190 Exploit Public-Facing Applicationinitial access85 %
Impacto principalT1059 Command and Scripting Interpreterexecution80 %

El vector CVSS es AV:N/PR:N/UI:N (red, sin privilegios ni interacción) y la descripción indica que la condición de OOM puede llevar a ejecución remota de código (RCE).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account Management Vulnerability Scanning Restrict Web-Based Content Network Segmentation Limit Software Installation Limit Access to Resource Over Network

Tecnologías afectadas (1)

PHP — PHP

CWE

CWE-416, CWE-755, CWE-824, CWE-1325

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-109618",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-109618",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-21T14:34:39.479770Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ],
    "cvssMetricV40": [
      {
        "type": "Secondary",
        "source": "security@php.net",
        "cvssData": {
          "Safety": "NOT_DEFINED",
          "version": "4.0",
          "Recovery": "NOT_DEFINED",
          "baseScore": 9.2,
          "Automatable": "NOT_DEFINED",
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "valueDensity": "NOT_DEFINED",
          "vectorString": "CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X",
          "exploitMaturity": "NOT_DEFINED",
          "providerUrgency": "NOT_DEFINED",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "attackRequirements": "PRESENT",
          "privilegesRequired": "NONE",
          "subIntegrityImpact": "NONE",
          "vulnIntegrityImpact": "HIGH",
          "integrityRequirement": "NOT_DEFINED",
          "modifiedAttackVector": "NOT_DEFINED",
          "subAvailabilityImpact": "NONE",
          "vulnAvailabilityImpact": "HIGH",
          "availabilityRequirement": "NOT_DEFINED",
          "modifiedUserInteraction": "NOT_DEFINED",
          "modifiedAttackComplexity": "NOT_DEFINED",
          "subConfidentialityImpact": "NONE",
          "vulnConfidentialityImpact": "HIGH",
          "confidentialityRequirement": "NOT_DEFINED",
          "modifiedAttackRequirements": "NOT_DEFINED",
          "modifiedPrivilegesRequired": "NOT_DEFINED",
          "modifiedSubIntegrityImpact": "NOT_DEFINED",
          "modifiedVulnIntegrityImpact": "NOT_DEFINED",
          "vulnerabilityResponseEffort": "NOT_DEFINED",
          "modifiedSubAvailabilityImpact": "NOT_DEFINED",
          "modifiedVulnAvailabilityImpact": "NOT_DEFINED",
          "modifiedSubConfidentialityImpact": "NOT_DEFINED",
          "modifiedVulnConfidentialityImpact": "NOT_DEFINED"
        }
      }
    ]
  },
  "affected": [
    {
      "source": "security@php.net",
      "affectedData": [
        {
          "vendor": "PHP Group",
          "product": "PHP",
          "versions": [
            {
              "status": "affected",
              "version": "8.2.*",
              "lessThan": "8.2.35",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "8.3.*",
              "lessThan": "8.3.36",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "8.4.*",
              "lessThan": "8.4.27",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "8.5.*",
              "lessThan": "8.5.12",
              "versionType": "semver"
            }
          ],
          "packageName": "php-src",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-21T14:17:09.357",
  "references": [
    {
      "url": "https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w",
      "tags": [
        "Mitigation",
        "Vendor Advisory"
      ],
      "source": "security@php.net"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/21/6",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://www.wiz.io/blog/php2shell-php-rce",
      "tags": [
        "Third Party Advisory"
      ],
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Modified",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@php.net",
      "description": [
        {
          "lang": "en",
          "value": "CWE-416"
        },
        {
          "lang": "en",
          "value": "CWE-755"
        },
        {
          "lang": "en",
          "value": "CWE-824"
        },
        {
          "lang": "en",
          "value": "CWE-1325"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE)."
    }
  ],
  "lastModified": "2026-10-21T17:18:24.293",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:php:php:*:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "80F659BB-0C5C-4F1B-8323-AE52F32C3BE4",
              "versionEndExcluding": "8.2.35"
            },
            {
              "criteria": "cpe:2.3:a:php:php:*:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "40BD58D9-94BD-41B6-9DDA-30CA729409FB",
              "versionEndExcluding": "8.3.36",
              "versionStartIncluding": "8.3.0"
            },
            {
              "criteria": "cpe:2.3:a:php:php:*:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "D057202A-94FF-4118-A41F-BA8ABB76346E",
              "versionEndExcluding": "8.4.27",
              "versionStartIncluding": "8.4.0"
            },
            {
              "criteria": "cpe:2.3:a:php:php:*:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "CAF7FA75-7F87-405F-A222-C5C17D42C31F",
              "versionEndExcluding": "8.5.12",
              "versionStartIncluding": "8.5.0"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "security@php.net"
}