Vulnerabilidades de PHP: Estado de Passwork y pautas

Advertencia: vulnerabilidades críticas en PHP. CVE-2026-109618 y CVE-2026-109619 pueden permitir que un atacante no autenticado ejecute código en un servidor que ejecuta PHP, incluido PHP-FPM. Ambas obtienen una puntuación de 9,2 en CVSS v4.0, y el proyecto PHP indica que actualizar es la única corrección completa. Los administradores de Passwork on-premise deberían actualizar PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35.

Novedades de PHP: Correcciones publicadas

El proyecto PHP anunció una versión de seguridad crítica el 20 de octubre y la publicó el 21 de octubre. PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen ambas vulnerabilidades. El aviso abarca todas las instalaciones de PHP que atienden solicitudes web, incluido PHP-FPM, y afirma que «no existen mitigaciones completas, actualizar es la única opción segura».

CVE Qué falla Impacto notificado
CVE-2026-109618 La gestión de la falta de memoria puede interrumpir PHP mientras los datos de la solicitud están inicializados solo en parte, y la limpieza de la solicitud trata después esos datos como válidos Ejecución remota de código sin autenticación con la cuenta del worker web
CVE-2026-109619 El estado de la solicitud persiste después de liberar su memoria, y una solicitud posterior en el mismo worker lo utiliza Ejecución remota de código sin autenticación y divulgación de memoria

Instalaciones self-hosted: Plan de actualización

Los administradores de instalaciones self-hosted deben actualizar el PHP-FPM que atiende a Passwork a la versión corregida de su rama, reiniciarlo y verificar la versión en el binario de PHP-FPM y no en una shell. Empiece por las instancias accesibles desde internet.

Antes de modificar el entorno de producción:

  • Cree un snapshot de la base de datos y de la configuración, y pruebe la restauración en un host de repuesto si no lo ha hecho recientemente.
  • Utilice la versión corregida de la rama que ya ejecuta. Cambiar a otra rama es un cambio independiente que requiere su propia prueba con la versión de Passwork en uso.
  • Instale compilaciones solo de la distribución, del proveedor o de php.net. Las compilaciones desde el código fuente y los binarios de Windows están en la página de descargas de PHP, y los proveedores de distribuciones y de soporte a largo plazo recibieron los parches con antelación, por lo que debe buscar sus paquetes antes de compilar nada.

A continuación, aplique la actualización del mismo modo en que instaló PHP, mediante un paquete o una imagen de contenedor, reinicie el servicio y confirme que el PHP-FPM que atiende a Passwork informa de una versión corregida. El PHP de línea de comandos puede informar de una versión distinta a la de PHP-FPM, así que compruebe la del que atiende las solicitudes web.

Si no es posible actualizar de inmediato

Hasta que se instale la actualización, limite quién puede acceder a Passwork. Sitúe Passwork detrás de una VPN o restrinja el acceso a un rango de red incluido en una lista de permitidos, y antes enumere todos los clientes que se conectan desde el exterior: personal remoto, aplicaciones móviles, extensiones de navegador y tareas de API y de CLI. Cada uno de ellos deja de funcionar si se restringe el acceso sin permitirlo.

El aviso de PHP también enumera configuraciones provisionales para cada CVE, relativas a los límites de memoria, los límites de tamaño de las solicitudes y el progreso de carga de las sesiones. Cierran vías de ataque concretas, pero no hacen que una instalación sea segura. Pruébelas en una instancia de staging antes de pasar a producción, porque modifican el comportamiento de la memoria, de las cargas y de las sesiones.