Corrupción por falta de memoria
CVE-2026-109618 afecta a la salida anticipada por OOM, que deja memoria parcialmente inicializada accesible durante la limpieza. El parche introduce un manejo suave y duro de memoria. Se confirmó RCE completa en mod_php. FPM se considera susceptible a rutas de aplicación, sin explotación completa demostrada para esta CVE.
¿FPM queda exento?
No. FPM termina el proceso hijo cuando falla el inicio de la petición, bloqueando algunas secuencias iniciales. No elimina las rutas de aplicación o entre peticiones. La demostración mod_php no implica idéntica explotación en todas partes, pero FPM tampoco sustituye el parche.
Cuidado con la memoria
memory_limit=-1 elimina ciertos OOM controlables del límite PHP, pero las asignaciones del sistema aún pueden fallar. Limite recursos por contenedor o cgroup. No use RLIMIT_AS ni RLIMIT_DATA. Acote tamaño decodificado, cabeceras multipart, partes y anidamiento; post_max_size solo no basta.
2. Instale una compilación corregida
Primeras versiones: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Elija una rama con soporte y actualice las extensiones compatibles. Pruebe aplicaciones y salud del servicio. Obtenga paquetes de PHP o del proveedor responsable. Un WAF o actualizar el CMS no corrige PHP.
| Rama PHP | Versiones originales inferiores a | Primera versión corregida | Fin del soporte de seguridad |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dic 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dic 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dic 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dic 2026 |
No hay una publicación habitual de PHP para estas ramas. Existen parches mínimos de código fuente para 7.4, 8.0 y 8.1; verifique el soporte del proveedor por separado. Leer guía ↗