CVE-2026-109619criticalbajo ataqueCWE-1325CWE-1419CWE-416CWE-755CWE-824

CVE-2026-109619: fallo crítico en PHP

RCE via stale global state

Publicada el · Actualizada el

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.

ssvc Actcvss 9.2epss 100%
de la publicación al arma0 días
Publicada en NVD21 oct
1ª PoC21 oct
CISA KEV+5d
probabilidad de explotación
100%top 1% de las CVE
explotación observada
síCISA + VulnCheck
78 exploit(s) público(s)
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CISC Gov.br · 23 oct 2026[Atualização] Vulnerabilidades críticas de execução remota de código PHPleer en gov.br ↗
  • CTIR Gov · RECOMENDAÇÃO 21/2026 · 22 oct 2026Recomendação de Segurança – PHP (CVE-2026-115560)leer en gov.br ↗
  • CTIR Gov · RECOMENDAÇÃO 20/2026 · 22 oct 2026Recomendação Técnica – Diretrizes de Endurecimento (Hardening): Ocultação de Banners Tecnológicos e Versõesleer en gov.br ↗
  • CISC Gov.br · 21 oct 2026Vulnerabilidades crí´ticas de execução remota de código PHPleer en gov.br ↗
  • CTIR Gov · ALERTA 93/2026 · 21 oct 2026Vulnerabilidades críticas que afeta o PHPleer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-10-29

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Un fallo en PHP puede dejar referencias internas de memoria apuntando a datos de una solicitud anterior, después de que esos datos ya fueron liberados. Los atacantes pueden usarlo para ejecutar su propio código en el servidor.

Detalle técnico

El estado global de PHP puede mantener punteros a la memoria de la solicitud tras su liberación, o volver a poblarse después de un reinicio, lo que provoca condiciones de use-after-free (CWE-416, CWE-1325, CWE-824) y ramificaciones sobre valores obsoletos y no inicializados en solicitudes posteriores. Se describen múltiples estrategias de activación y el impacto es la ejecución remota de código, con CVSS 9.2 (Crítico).

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
PHP Group · PHP
PoCs públicas encontradas — 78
githubgithub.com/aarsaputra/php2shell★ 109githubgithub.com/unlimit0118/CVE-2026-109619-php2shell-poc★ 5githubgithub.com/cozybear-dev/cve-2026-109619★ 4githubgithub.com/dev-maple/php2shell-CVE-2026-109619★ 2githubgithub.com/LordX404/php2shell-exploit★ 2githubgithub.com/mazdel/php2shell-poc★ 1githubgithub.com/DarynOngera/solid-palm-tree★ 1githubgithub.com/franckferman/CVE-2026-109619★ 1githubgithub.com/baimaobg/php-cve-2026-109619-lab★ 1githubgithub.com/EQSTLab/CVE-2026-109619★ 1githubgithub.com/fellipgomes/br-php2shell★ 1githubgithub.com/infiniroot/ansible-mitigate-php2shell★ 1githubgithub.com/Taz1920/cve-2026-109619★ 0githubgithub.com/abraxas/php-stale-global-uaf★ 0githubgithub.com/utkarsssh17/cve-2026-109619-php-uaf-poc★ 0githubgithub.com/piecar21/CVE-2026-109619★ 0githubgithub.com/Prajjwal-Srivastava/php2shell_scanner★ 0githubgithub.com/RuanSerraAzul/CVE-2026-109619-POC★ 0githubgithub.com/FarhadHosen101/PHP2Shell-CVE-2026-109619★ 0githubgithub.com/fmdiscioglu/php-cve-2026-109619-checker★ 0githubgithub.com/santihabib/CVE-2026-109619★ 0githubgithub.com/1Nightlovel/CVE-2026-109619★ 0githubgithub.com/syrex1013/CVE-2026-109619★ 0githubgithub.com/basesixtythree/B63-POC-CVE-2026-109619★ 0githubgithub.com/VKKKV/php2shell-exp★ 0githubgithub.com/WallcroftUK/CVE-2026-109619★ 0githubgithub.com/MorphingYU/CVE-2026-109619★ 0vulncheckvulncheck.com/xdb/0c61dbebd37ano verificadovulncheckvulncheck.com/xdb/8f48fdd7f165no verificadovulncheckvulncheck.com/xdb/147e93dfb96dno verificadovulncheckvulncheck.com/xdb/fa755ba28300no verificadovulncheckvulncheck.com/xdb/3ab3f8f0809fno verificadovulncheckvulncheck.com/xdb/5f018492f442no verificadovulncheckvulncheck.com/xdb/76114404529dno verificadovulncheckvulncheck.com/xdb/794a31805a84no verificadovulncheckvulncheck.com/xdb/47d895e8edd9no verificadovulncheckvulncheck.com/xdb/350f85b61e0dno verificadovulncheckvulncheck.com/xdb/ab356d3799c4no verificadovulncheckvulncheck.com/xdb/56a688eb716fno verificadovulncheckvulncheck.com/xdb/a960e989589cno verificadovulncheckvulncheck.com/xdb/9dfbf67c7875no verificadovulncheckvulncheck.com/xdb/a797b02a2d15no verificadovulncheckvulncheck.com/xdb/cae4f1f74438no verificadovulncheckvulncheck.com/xdb/b72b73806b3bno verificadovulncheckvulncheck.com/xdb/cfc7482cbd02no verificadovulncheckvulncheck.com/xdb/2aa84568954dno verificadovulncheckvulncheck.com/xdb/e0cc8f18662eno verificadovulncheckvulncheck.com/xdb/bd6f14fb9967no verificadovulncheckvulncheck.com/xdb/4c7095cc1c63no verificadovulncheckvulncheck.com/xdb/24eea58fc5e5no verificadovulncheckvulncheck.com/xdb/672fc346321eno verificadovulncheckvulncheck.com/xdb/aaee58094f00no verificadovulncheckvulncheck.com/xdb/f463c5f17bbfno verificadovulncheckvulncheck.com/xdb/d2c5e64d091dno verificadovulncheckvulncheck.com/xdb/fe74549ca89fno verificadovulncheckvulncheck.com/xdb/419b22bb0c9dno verificadovulncheckvulncheck.com/xdb/afee80097430no verificadovulncheckvulncheck.com/xdb/a13385ce95a0no verificadovulncheckvulncheck.com/xdb/b97bbc624879no verificadovulncheckvulncheck.com/xdb/488e371c3b4bno verificadovulncheckvulncheck.com/xdb/5b4ee6f3e6d9no verificadovulncheckvulncheck.com/xdb/9efa914b5033no verificadovulncheckvulncheck.com/xdb/89f8fe966074no verificadovulncheckvulncheck.com/xdb/1de913151c37no verificadovulncheckvulncheck.com/xdb/cc63afbc2556no verificadovulncheckvulncheck.com/xdb/ca79732b1bd3no verificadovulncheckvulncheck.com/xdb/11591cf3fae4no verificadovulncheckvulncheck.com/xdb/6b1c6f3b8ab8no verificadovulncheckvulncheck.com/xdb/e5943f3a5adfno verificadovulncheckvulncheck.com/xdb/c13e0ced5741no verificadovulncheckvulncheck.com/xdb/3ee3cc942b69no verificadovulncheckvulncheck.com/xdb/025ae90c5210no verificadovulncheckvulncheck.com/xdb/96b45c265779no verificadovulncheckvulncheck.com/xdb/18c0133ad077no verificadovulncheckvulncheck.com/xdb/108de6a83877no verificadovulncheckvulncheck.com/xdb/0e36a61275cano verificadovulncheckvulncheck.com/xdb/57db94e7f60dno verificadovulncheckvulncheck.com/xdb/b195732528c3no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — PHP

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-109618CRITICALRCE via OOM corruptionEPSS 100.0%KEVCVE-2024-4577CRITICALArgument Injection in PHP-CGIEPSS 100.0%KEVCVE-2022-31626HIGHmysqlnd/pdo password buffer overflowEPSS 58.1%CVE-2022-31629MEDIUM$_COOKIE names string replacement (. -> _): cookie integrity vulnerabilitiesEPSS 49.6%CVE-2024-2756MEDIUM__Host-/__Secure- cookie bypass due to partial CVE-2022-31629 fixEPSS 38.1%CVE-2024-1874CRITICALCommand injection via array-ish $command parameter of proc_open()EPSS 32.6%
Referencias
https://arcticwolf.com/resources/blog/php2shell-critical-php-vulnerabilities-enable-unauthenticated-remote-code-execution/https://cert-portal.siemens.com/productcert/html/ssa-566512.htmlhttps://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rphttps://php2shell.delftintellab.com/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-109619https://www.wiz.io/blog/php2shell-php-rcehttp://www.openwall.com/lists/oss-security/2026/10/21/16http://www.openwall.com/lists/oss-security/2026/10/21/17http://www.openwall.com/lists/oss-security/2026/10/21/23http://www.openwall.com/lists/oss-security/2026/10/21/7http://www.openwall.com/lists/oss-security/2026/10/22/14http://www.openwall.com/lists/oss-security/2026/10/22/15