Hemos estado realizando un seguimiento de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 desde el 20 de octubre; las medidas de protección en los servicios de alojamiento compartido ya estaban implementadas antes de que comenzara a circular código de explotación público.
Es posible que su versión de PHP parezca igual. A diferencia de una actualización de PHP convencional, CloudLinux ha integrado la corrección en sus propios paquetes de PHP. Dado que todos nuestros servidores de alojamiento compartido utilizan el sistema operativo CloudLinux, WordPress, phpinfo y MultiPHP siguen mostrando la misma versión que antes. Esta versión también aparece por debajo de la publicada oficialmente por PHP (por ejemplo, 8.4.26 en lugar de 8.4.27); esto es totalmente normal. Puede estar tranquilo: el sistema utiliza una versión corregida (parcheada). Además, ya existían diversas capas de defensa antes de aplicar estos parches, las cuales permanecen activas como medida de precaución adicional.
Hospedaje compartido
Se han implementado múltiples capas de defensa, por lo que no es necesario realizar ninguna acción en estas cuentas.
Todos los paquetes "ea-php" y "alt-php" han sido actualizados desde los repositorios de CloudLinux.
Se han aplicado las configuraciones de PHP recomendadas —incluyendo las medidas de mitigación en el archivo "php.ini"— en todos nuestros servidores de hospedaje compartido.
Todos los servidores compartidos cuentan con cPGuard. Se han añadido reglas de WAF (Web Application Firewall) que inspeccionan las cabeceras de las solicitudes entrantes de tipo "multipart" y bloquean patrones maliciosos conocidos antes de que lleguen al analizador de PHP. Más información sobre cómo funciona esta protección.
Estos servidores utilizan LiteSpeed Enterprise, no Apache. Apache representaba el entorno de mayor riesgo ante este problema, mientras que LiteSpeed ha respondido de manera eficaz durante el despliegue de los parches.
CloudLinux ha mantenido el número de versión original tras la actualización; por ello, la versión que aparece en su sitio web permanece igual y sigue siendo inferior al número de versión publicado por PHP. No obstante, se trata, en efecto, de la versión corregida. Los paquetes "alt-php" también han sido actualizados. Puede seguir el proceso de despliegue de CloudLinux aquí. Si eres cliente de hospedaje compartido, no es necesario que realices ninguna acción. El equipo del centro de datos se encarga de gestionar estas actualizaciones de forma proactiva.
Otros artículos:
https://www.php.net/archive/2026.php
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
