Alerta Vulnerabilidad PHP
ACTUALIZACIÓN · 22 DE OCTUBRE · 14:00 HRS
Todas las versiones de PHP de nuestros servidores están actualizadas y protegidas contra CVE-2026-109618 y CVE-2026-109619.
Si en phpinfo, en el panel de WordPress o en cualquier otra herramienta ves un número de versión de PHP anterior a las versiones corregidas (8.5.12, 8.4.27, 8.3.36 y 8.2.35), no es un error ni significa que tu sitio siga expuesto: CloudLinux aplicó la corrección sobre la misma versión que ya estaba instalada, sin cambiar su número. Por ejemplo, PHP 8.5.11 en nuestros servidores ya incluye la corrección de ambas vulnerabilidades.
CloudLinux indicó que más adelante publicará estas versiones con el número actualizado. Puedes revisar su explicación en su página de estado (en inglés).
ACTUALIZACIÓN · 21:00 HRS
A las 21:00 horas (hora de Chile), todas las versiones de ALT PHP ya fueron actualizadas. Con esto, todas las versiones de PHP de nuestros servidores cPanel y DirectAdmin están parchadas y aseguradas.
Si tienes un VPS administrado por ti, recuerda que debes actualizar también el PHP instalado dentro de tu VPS.
ACTUALIZACIÓN · 20:20 HRS
CloudLinux ya publicó los parches de ALT PHP y los estamos aplicando en nuestros servidores cPanel y DirectAdmin. Esperamos que este proceso tome entre 40 y 60 minutos. Al terminar te informaremos aquí, indicando si queda algo pendiente.
ACTUALIZACIÓN · 20:00 HRS
A las 20:00 horas (hora de Chile), nuestros servidores SonicPanel ya fueron parchados.
ACTUALIZACIÓN · 19:30 HRS
A las 19:30 horas (hora de Chile), el PHP nativo de nuestros servidores cPanel ya fue parchado. Con esto, el PHP nativo está actualizado en todos nuestros servidores cPanel y DirectAdmin.
Aún faltan las versiones de ALT PHP para cPanel y DirectAdmin, que dependen de CloudLinux y siguen con retraso. Las instalaremos en cuanto estén disponibles.
ACTUALIZACIÓN · 17:00 HRS
CloudLinux se había comprometido a publicar a esta hora las actualizaciones de PHP nativo en cPanel y de ALT PHP en cPanel y DirectAdmin. El plazo se cumplió y CloudLinux aún no las ha publicado.
Estamos monitoreando activamente su publicación para instalarlas en cuanto estén disponibles, y te informaremos aquí y en nuestra página de estado. Mientras tanto, la medida preventiva aplicada esta mañana sigue activa en todos nuestros servidores.
ACTUALIZACIÓN · 12:40 HRS
A las 12:40 horas (hora de Chile), VirtFusion y nuestros 3 nodos VPS ya recibieron las actualizaciones y parches de PHP.
Importante si tienes un VPS: esta actualización protege nuestra infraestructura de virtualización, pero no el PHP que esté instalado dentro de tu VPS. Si tienes PHP instalado en tu VPS, debes actualizarlo también.
ACTUALIZACIÓN · 11:20 HRS
A las 11:20 horas (hora de Chile), la totalidad de nuestros servidores DirectAdmin ya cuenta con las versiones corregidas del PHP nativo. La actualización de ALT PHP en DirectAdmin queda pendiente, ya que depende de que CloudLinux la publique. Seguimos con la actualización del resto de la flota y te informaremos aquí y en nuestra página de estado a medida que avancemos.
El equipo de desarrollo de PHP anunció dos vulnerabilidades de seguridad críticas (CVE-2026-109618 y CVE-2026-109619, con una severidad de 9,2 sobre 10) que afectan a las versiones 8.2, 8.3, 8.4 y 8.5 de PHP, el lenguaje sobre el que funcionan la gran mayoría de los sitios web, incluidos WordPress, PrestaShop y Moodle. La actualización oficial que las corrige se publica hoy, 21 de octubre, a las 11:00 horas (hora de Chile).
Como ya circula públicamente un método para aprovechar estas fallas y se ha reportado su explotación activa en internet, no quisimos esperar al parche oficial: durante esta mañana aplicamos una medida preventiva en la totalidad de nuestros servidores cPanel, DirectAdmin y nodos VPS.
El ataque conocido se aprovecha de una función de PHP llamada session upload progress, que permite informar el avance de la subida de un archivo. Es una función de uso muy poco frecuente hoy en día, por lo que la desactivamos de forma preventiva en toda la flota.
Mitigación aplicada en:
• Servidores cPanel y DirectAdmin: desactivación de session upload progress en todas las versiones de PHP disponibles para tu cuenta, con reinicio de los procesos de PHP para que la medida se aplique de inmediato.
• Nodos VPS: aplicación de la medida de contención oficial publicada por VirtFusion, el software de virtualización que utilizamos.
Queremos ser transparentes: esta medida reduce considerablemente la exposición, pero no reemplaza al parche oficial, ya que los detalles completos de las vulnerabilidades se publicarán junto con la actualización. Por eso, la protección definitiva llegará con la actualización de PHP que describimos a continuación.
| Publicación del parche | Miércoles 21 de octubre, 11:00 hrs (hora de Chile) |
| Versiones corregidas | PHP 8.2, 8.3, 8.4 y 8.5 |
| Nuestra acción | Completada: versiones corregidas instaladas en toda la flota el 21 de octubre a las 21:00 hrs |
| Impacto esperado | Sin interrupción del servicio |
Si tienes un plan de hosting o reseller, no necesitas hacer nada. Nos encargamos de la mitigación y de la actualización de PHP en todos nuestros servidores.
Posible efecto secundario: algunos formularios o plugins muy específicos que muestran una barra de progreso al subir archivos, basada en esta función de PHP, podrían dejar de mostrar el avance. La subida del archivo en sí sigue funcionando con normalidad.
Si notas cualquier comportamiento extraño en tu sitio, contáctanos por chat o ticket y lo revisaremos contigo.
Si tienes un VPS administrado por ti: la medida que aplicamos protege nuestra infraestructura de virtualización, pero no el PHP que esté instalado dentro de tu VPS. Te recomendamos desactivar session.upload_progress.enabled en la configuración de PHP de tu servidor y aplicar la actualización oficial apenas tu sistema operativo o panel la publique.
Mantendremos un monitoreo reforzado de nuestros servidores durante los próximos días y te informaremos a través de este canal y de nuestra página de estado sobre el avance de las actualizaciones.
La seguridad de tu sitio es una prioridad para nosotros, y ante amenazas de este nivel preferimos actuar de forma preventiva, sin esperar. Si tienes cualquier duda sobre esta alerta o sobre cómo afecta a tu servicio, no dudes en contactarnos por nuestros canales de soporte.
Premium Hosting Solutions SpA · PremiumHosting.cl