CríticaCVSS 9.8PHP
PHP: dos RCE críticas sin autenticación (CVE-2026-109618 y CVE-2026-109619), explotadas activamente
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos fallos de memoria en el núcleo que permiten ejecutar código de forma remota sin autenticación, ya en el catálogo KEV de CISA. Versiones afectadas, cómo comprobarlo y cómo mitigarlo.