En AZAMedia se han aplicado medidas de protección y actualizaciones de seguridad tras la publicación de las vulnerabilidades críticas CVE-2026-109618 y CVE-2026-109619, que afectan a distintas versiones de PHP y podrían permitir la ejecución remota de código bajo determinadas condiciones.
Actuaciones realizadas #
21 de octubre, 17:17 h — Actualización de las protecciones WAF
Se ha verificado la actualización de las reglas de seguridad de Imunify360, incorporando las protecciones publicadas para mitigar los patrones de ataque conocidos relacionados con estas vulnerabilidades.
Imunify360 bloquea el exploit público conocido y distintos patrones de explotación detectados. Estas reglas actúan como una capa de mitigación o virtual patch, pero no corrigen la vulnerabilidad existente en PHP ni cubren necesariamente todas las posibles variantes de explotación.
21 de octubre, 20:45 h aproximadamente — Disponibilidad de las actualizaciones PHP de Plesk
Los paquetes corregidos de PHP suministrados por Plesk comenzaron a estar disponibles en nuestra infraestructura y se inició su instalación en los servidores afectados.
21 de octubre, 21:45 h aproximadamente — Despliegue de las actualizaciones disponibles
Se completó el despliegue de las actualizaciones PHP de Plesk disponibles en la infraestructura administrada por AZAMedia.
Estado de las versiones PHP suministradas por Plesk #
| Versión PHP | Versión / compilación corregida por Plesk para Linux | Estado en la infraestructura administrada |
|---|---|---|
| PHP 8.5 | 8.5.12 | Actualizada |
| PHP 8.4 | 8.4.27 | Actualizada |
| PHP 8.3 | 8.3.36 | Actualizada |
| PHP 8.2 | 8.2.35 | Actualizada |
| PHP 8.1 | 8.1.34, compilación del 21/10/2026 | Actualizada |
| PHP 8.0 | 8.0.30, compilación del 21/10/2026 | Actualizada |
| PHP 7.4 | 7.4.33, compilación del 21/10/2026 | Actualizada |
| PHP 7.3 y anteriores | Sin una compilación corregida estándar de Plesk incluida en la tabla actual de versiones parcheadas | Mitigación WAF activa; requiere actualización, soporte extendido o backport según el entorno |
En PHP 7.4, 8.0 y 8.1 el número de versión no cambia necesariamente, ya que Plesk ha incorporado las correcciones mediante una nueva compilación con fecha 21 de octubre de 2026.
Versiones antiguas de PHP #
En servidores que todavía necesitan utilizar PHP 7.3 o versiones anteriores por motivos de compatibilidad, las protecciones de Imunify360 permanecen activas para mitigar los patrones de ataque conocidos.
Esta protección WAF reduce de forma significativa la exposición al exploit público, pero no debe considerarse equivalente a tener PHP parcheado, ya que no cubre todas las posibles vías de explotación de estas vulnerabilidades.
Cuando el entorno dispone de soporte extendido de seguridad, como CloudLinux Alt-PHP / HardenedPHP o soluciones ELS compatibles, AZAMedia aplica o verifica los backports publicados por el fabricante para la versión correspondiente. La disponibilidad de estos backports depende de la versión de PHP, el sistema operativo y el repositorio utilizado en cada servidor.
Siempre que sea técnicamente posible, AZAMedia recomienda actualizar las aplicaciones a una versión de PHP actualmente soportada.
¿A qué servicios se aplica este comunicado? #
Las actuaciones descritas están dirigidas a:
- Servicios de Hosting Compartido de AZAMedia.
- Servidores y servicios que dispongan de un contrato de soporte, dentro del alcance de dicho contrato.
Los servidores Cloud no administrados, en los que el cliente es responsable del mantenimiento y actualización del sistema operativo y de las aplicaciones, no están incluidos en estas actuaciones generales.
