Error Longjmp de PHP: Dentro de CVE-2026-109618 y CVE-2026-109619

El 21 de octubre de 2026, el Centro Nacional de Seguridad Cibernética del Reino Unido emitió una alerta que es, por cualquier medida, inusualmente contundente: un problema crítico en PHP puede permitir que los atacantes ejecuten comandos en el servidor web ■em confidencialany seleccionado/em confidencial ejecutando PHP. Los dos CVEs detrás de él — CVE-2026-109618 y CVE-2026-109619 — son valorados 9.2 bajo CVSS 4.0, son defectos de ejecución de código remoto, y tienen código de prueba de contacto en circulación. Si su finca toca el Internet público, hay una muy buena posibilidad de que PHP esté en algún lugar del radio de explosión.Seguido/p contactosh2 confidencialPor qué este es diferente escritura/h2 confidenciales:p] Un fallo de deserialización en un marco, un traversal de ruta en un plugin, una inyección SQL en un CMS — estos son el pan y la mantequilla de gestión de la vulnerabilidad, y casi siempre se encuentran en una aplicación particular, un módulo particular, o una configuración particular. CVE-2026-109618 y CVE-2026-109619 no son eso. Viven en el propio intérprete, en la maquinaria que PHP utiliza para manejar errores fatales y condiciones fuera de memoria. Esto significa que la exposición no está definida por la aplicación que ejecuta, sino por el hecho de que ejecuta PHP en absoluto. Esa distinción importa enormemente por cómo respondes. Cuando un plugin CMS es vulnerable, parcheas el plugin o lo deshabilitas. Cuando el tiempo de ejecución es vulnerable, cada aplicación en ese tiempo de ejecución hereda el defecto — el portal del cliente, el wiki interno, el micrositio de marketing olvidado de 2019, el aplicador que empaqueta silenciosamente una pila PHP nadie documentado. La guía del NCSC refleja exactamente esto: identificar las instalaciones de PHP. Nota: La NCSC afirma explícitamente que las organizaciones que utilizan la versión de PHP indicah2 tituladoAnatomy de los dos defectos realizados/h2 especificadop IntroducidosTanto las vulnerabilidades se remontan a ■code confidenciallongjmp() interpretado/code contactos, el mecanismo de la biblioteca C PHP utiliza para desbloquear la pila cuando se produce un error fatal o una condición fuera de memoria. En el funcionamiento normal se trata de un rescate controlado: algo va mal, el intérprete vuelve a un punto seguro conocido, y la solicitud se derriba limpiamente. Los fallos surgen cuando ese rescate ocurre precisamente en el momento equivocado, dejando el estado interno inconsistente. El primer defecto es un problema de gestión de flujo de control. Cuando una afección fuera de la memoria dispara لеренногоннанногим() efectuado / codificador mientras que los datos de solicitud interna sólo se inicializan parcialmente, el camino de limpieza puede tratar la memoria inválida, no inicializada como si fuera válida. El resultado es la corrupción de memoria. Debido a que el atacante controla el gatillo — una condición OOM es algo que se puede provocar con una petición elaborada & mdash; Unidad 42 describe el exploit como