Saltar al contenido principal

Tiempos de ejecución web de PHP (CVE-2026-109618 y CVE-2026-109619)

Se trata de un problema en curso. La información está sujeta a cambios. Consulte este boletín para obtener la información más actualizada sobre los parches.

ID de boletín: 2026-143-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 21/10/2026 14:30 h PDT
Fecha de última actualización: 30/10/2026 13:15 h PDT

Resumen:

Se han identificado dos problemas críticos en los tiempos de ejecución web de PHP (CVE-2026-109618 y CVE-2026-109619) que pueden permitir a un actor no autenticado ejecutar código en los sistemas afectados. Una persona que llama de forma remota puede enviar solicitudes web diseñadas a los procesos de trabajo de PHP afectados y ejecutar código arbitrario, leer datos accesibles al proceso o provocar la denegación de servicio.

Los servicios de AWS no se ven afectados por estos problemas. Los clientes que utilicen las versiones afectadas de PHP en los servicios que se enumeran a continuación podrían verse afectados y deberían revisar la orientación proporcionada.

Versiones afectadas:

  • PHP 8.5: Versiones afectadas 8.5.0–8.5.11 · Primera versión corregida: 8.5.12
  • PHP 8.4: Versiones afectadas 8.4.0–8.4.26 · Primera versión corregida: 8.4.27
  • PHP 8.3: Versiones afectadas 8.3.0–8.3.35 · Primera versión corregida: 8.3.36
  • PHP 8.2: Versiones afectadas 8.2.0–8.2.34 · Primera versión corregida: 8.2.35
  • PHP 5.4–8.1: No se ha publicado ninguna corrección oficial. Ha llegado al final de su ciclo de vida y no tiene ninguna corrección planificada. Se requiere migrar a una rama compatible.

Impacto:

Un actor puede acceder a este problema de forma remota sin necesidad de autenticarse a través del límite entre Internet y la aplicación del cliente, lo que puede provocar la ejecución de código, el acceso no deseado a los datos accesibles al proceso o la denegación de servicio en el proceso de trabajo de PHP de destino. El problema se limita al proceso de trabajo afectado y a sus permisos a nivel de aplicación; hasta la fecha, no se ha registrado ninguna propagación entre clientes.

Estado actual de mitigación:

  • Amazon EMR: Los clústeres de Amazon EMR en EC2 que se lanzan con Ganglia incluido en el conjunto de aplicaciones se ven afectados, en concreto las versiones 4.2.0—5.29.0 y 5.30.0—6.15.0 de EMR. Amazon EMR en EKS y Amazon EMR sin servidor no se ven afectados en ninguna versión. En Amazon EMR en EC2, los clústeres que ejecutan la versión 7.0.0 o posterior y los clústeres lanzados sin Ganglia instalado tampoco se ven afectados. En el caso de las versiones afectadas, los clientes que lancen nuevos clústeres deben omitir Ganglia cuando no sea necesario. Siempre que sea posible, los clientes deben actualizar a EMR 7.x, que ya no incluye Ganglia, y utilizar el agente de Amazon CloudWatch para la telemetría y el monitoreo.

  • Amazon WorkMail: AWS ha aplicado controles a nivel de configuración y ha completado la actualización a PHP 8.3.36. No se requiere ninguna acción por parte del cliente.

  • AWS Elastic Beanstalk: AWS ha publicado versiones actualizadas de la plataforma PHP para todas las versiones de PHP compatibles (de la 8.2 a la 8.5) que contienen la corrección de PHP publicada por el proyecto original. Los clientes que tengan habilitadas las actualizaciones administradas de la plataforma recibirán la actualización automáticamente durante su próximo período de mantenimiento. Los clientes que no hayan habilitado las actualizaciones administradas de la plataforma deben actualizar la versión de la plataforma de su entorno siguiendo la documentación: PHP 8.5/8.4 y PHP 8.3/8.2.

  • AWS Lambda: AWS Lambda no proporciona un tiempo de ejecución de PHP administrado. Los clientes que hayan implementado PHP como una imagen de contenedor o tiempo de ejecución personalizado son responsables de actualizar la versión de PHP utilizada en sus funciones. Recomendamos actualizar a una versión de PHP parcheada lo antes posible y volver a implementar sus funciones. Para obtener orientación sobre cómo crear y mantener tiempos de ejecución personalizados, consulte la documentación de AWS Lambda. Si utiliza el proyecto Bref de terceros para ejecutar PHP en Lambda, Bref ha publicado una versión de seguridad que contiene capas e imágenes de Docker actualizadas con las versiones de PHP parcheadas. Siga las instrucciones de actualización de la versión de seguridad de Bref.

  • Amazon Linux: los paquetes PHP actualizados están disponibles para todas las regiones. Los clientes que utilicen PHP en Amazon Linux deben aplicar los paquetes actualizados en cuanto estén disponibles. Consulte CVE-2026-109618 y CVE-2026-109619 en el Centro de seguridad de Amazon Linux para obtener más información.

  • Amazon Lightsail: los planos actualizados de Lightsail ya están disponibles en todas las regiones. AWS no puede actualizar las instancias de Lightsail en ejecución. Los clientes que ejecuten cargas de trabajo de PHP en Lightsail deben crear nuevas instancias a partir de los esquemas actualizados y migrar sus aplicaciones siguiendo la documentación.

  • AWS CodeBuild: AWS lanzará imágenes seleccionadas actualizadas de CodeBuild con PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12 a partir del 30 de octubre de 2026. Los clientes cuyos proyectos utilicen la imagen seleccionada más reciente recibirán la actualización en su próxima compilación sin necesidad de realizar ninguna acción. Los clientes que hayan fijado una versión de imagen específica deben actualizarla a la versión más reciente de la imagen, y los clientes que creen imágenes personalizadas a partir de una imagen seleccionada por CodeBuild deben volver a crearlas. PHP 8.1 y las versiones anteriores han llegado al final de su ciclo de vida y no tienen ninguna corrección planificada; los clientes que seleccionen estas versiones en sus especificaciones de compilación deben migrar a una versión de PHP compatible.
    CodeBuild no ejecuta servidores PHP como parte del servicio de compilación; estos problemas solo son relevantes para las compilaciones que inician un servidor PHP. Para ver las imágenes y las versiones de tiempo de ejecución disponibles, consulte imágenes de Docker proporcionadas por CodeBuild.

Guía de mitigación:

  • Actualizar de inmediato a una versión de PHP parcheada es la única corrección completa: 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Los cambios de configuración que se indican a continuación pueden reducir el impacto para los clientes que no puedan actualizar de forma inmediata, pero ninguno de ellos constituye una mitigación total.

  • Consulte Aviso de seguridad: Vulnerabilidades críticas de ejecución remota de código, actualice ahora para ver mitigaciones adicionales.

  • Tiempos de ejecución al final del ciclo de vida 5.4–8.1: Aplique controles de configuración provisionales para la vulnerabilidad CVE-2026-109619 cuando sean efectivos, reinicie los procesos de trabajo de PHP e inicie inmediatamente la migración a una rama de PHP corregida y compatible. No hay ninguna solución disponible para la vulnerabilidad CVE-2026-109618 en las ramas al final de su ciclo de vida.

  • Controles de compensación si se utiliza AWS WAF:
    La única solución completa es aplicar parches, y los clientes deben actualizar PHP como primera prioridad. Como aplicar parches a una flota lleva tiempo, recomendamos revisar esta entrada de blog, que muestra cómo usar AWS Web Application Firewall (AWS WAF) para ayudar a reducir la exposición durante ese período. Tenga en cuenta que este blog se actualizará con los cambios en las directrices de AWS WAF a medida que evolucione la situación.

    Actualizamos continuamente el grupo de reglas administradas de PHP de AWS WAF para agregar protección tanto para la vulnerabilidad CVE-2026-109618 como para la CVE-2026-109619. Los clientes que utilicen la versión predeterminada estarán protegidos automáticamente sin que tengan que tomar ninguna medida. Los clientes que hayan fijado una versión específica deben actualizarla a la versión más reciente para recibir esta protección. Para obtener la versión más reciente y más información sobre las reglas agregadas, consulte el Registro de cambios en las reglas administradas de AWS WAF y suscríbase al tema de SNS para AWS Managed Rules.

Referencias:


Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.