CRONOLOGÍA
Actualizaciones
CloudLinux ha desplegado nuevas reglas de Imunify360 para bloquear más variantes de los intentos de explotación de estas vulnerabilidades. Estas protecciones se distribuyen automáticamente.
No necesitas realizar cambios en tu hosting.
Hemos aplicado parches y mitigación en todos los servidores. cPanel y Cloudlinux han comenzado a lanzar nuevas versiones que corrigen estas vulnerabilidades, y en la medida en que esten disponibles seran aplicadas.
Agradecemos su continua cooperación y comprensión, y les mantendremos informados.
El incidente pasa a monitoreo.
Continuamos aplicando parches y mitigaciones oficiales a lo largo de nuestros servidores. Es posible experimentar intermitencia, o fallos en formularios de inicio de sesión.
Continuaremos actualizando este status confirme tenemos mas novedades.
PHP ha publicado correcciones para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código sin autenticación.
Realizaremos las siguientes acciones para reducir la exposición y aplicar las correcciones correspondientes.
HOSTING COMPARTIDO Y RESELLER HOSTING
En estos servicios, Gigacore se encargará de las acciones sobre la infraestructura:
• Validar Imunify360 y ModSecurity: revisar su funcionamiento, actualizar las reglas de seguridad y comprobar que estén cargadas y activas.
• Aplicar endurecimiento temporal: ajustar la configuración de PHP para reducir la exposición a los vectores conocidos mientras se completa la instalación de los parches.
• Actualizar PHP: instalar los paquetes corregidos conforme estén disponibles en los repositorios oficiales de nuestros proveedores, revisando las distintas versiones utilizadas por los sitios.
• Realizar reinicios controlados: reiniciar los procesos PHP y, cuando corresponda, los servicios web para que las actualizaciones y configuraciones entren en funcionamiento.
• Verificar el resultado: comprobar las versiones activas, el funcionamiento de los servicios y los registros de errores.
Durante estas tareas pueden presentarse interrupciones breves, errores temporales o solicitudes que deban reintentarse. Algunos ajustes preventivos también pueden afectar funciones específicas, como las barras de progreso de carga de archivos que dependan del seguimiento de sesiones de PHP.
Las medidas temporales ofrecen protección parcial. La corrección definitiva requiere instalar los paquetes PHP actualizados.
Recomendamos a los propietarios de sitios y revendedores mantener actualizados sus CMS, plugins, temas, módulos y librerías, y preparar sus aplicaciones para PHP 8.3 o superior, según su compatibilidad, especialmente si todavía dependen de PHP 7.x, 8.0 u 8.1.
Antes de cambiar de versión, realiza un respaldo y verifica la compatibilidad con tu desarrollador. Seleccionar PHP 8.3 por sí solo no corrige estas vulnerabilidades: debe incluir la revisión de seguridad correspondiente. Si ya utilizas una rama posterior compatible, corresponde mantenerla actualizada.
RECOMENDACIONES PARA ADMINISTRADORES DE VPS Y SERVIDORES DEDICADOS
Las siguientes acciones deben ser revisadas por el administrador de cada servidor, de acuerdo con el alcance de administración contratado:
1. Identificar todas las instalaciones PHP, incluidas las utilizadas por sitios, paneles, contenedores y aplicaciones independientes. En cPanel, revisar tanto ea-php como alt-php, cuando estén instalados.
2. Instalar los paquetes corregidos del proveedor. PHP publicó estas versiones de seguridad:
• PHP 8.2: actualizar a 8.2.35. • PHP 8.3: actualizar a 8.3.36. • PHP 8.4: actualizar a 8.4.27. • PHP 8.5: actualizar a 8.5.12.
También pueden utilizarse revisiones posteriores de la misma rama que incorporen estas correcciones.
Si utilizas una versión antigua con HardenedPHP o soporte extendido, confirma que la compilación instalada incorpore las correcciones para ambas CVE.
3. Actualizar y verificar el WAF. Imunify360 publicó las reglas 8.83 como protección parcial. Según CloudLinux, bloquean el patrón conocido en Apache; en LiteSpeed lo registran, pero no lo bloquean. No deben considerarse un sustituto del parche PHP.
4. Aplicar medidas temporales si aún no puedes actualizar. PHP recomienda establecer session.upload_progress.enabled = Off desde una configuración que se cargue antes de procesar las solicitudes. En PHP 8.5 también recomienda temporalmente fatal_error_backtraces = 0.
Reinicia todos los procesos PHP después de los cambios. Para PHP-FPM, no confíes en .user.ini ni en ini_set() para esta mitigación. Estos ajustes solo reducen la exposición a determinados vectores y no sustituyen la actualización.
5. Reiniciar el motor PHP correcto. En LiteSpeed, reinicia también los procesos PHP independientes mediante “Restart Detached PHP Processes”: reiniciar únicamente el servidor web puede dejar procesos anteriores activos.
6. Comprobar la actualización desde solicitudes web reales, revisar errores de instalación y probar accesos, formularios y cargas de archivos. Si un servicio crítico sigue expuesto y no puedes actualizarlo, considera restringir temporalmente su acceso hasta aplicar la corrección.
Publicaremos los avances y la confirmación de las acciones realizadas en esta página de estado.
Estamos al tanto de dos vulnerabilidades críticas de seguridad en PHP anunciadas por el equipo de seguridad de PHP (PHP Security Team).
Las versiones de PHP que utilizamos son proporcionadas por nuestros proveedores. Aplicaremos las versiones corregidas en todos nuestros servidores de hosting compartido y WordPress administrado tan pronto como estén disponibles.
Mientras tanto, estamos implementando medidas de protección adicionales en nuestros servidores para reducir los riesgos de seguridad hasta que se desplieguen las actualizaciones.
Los clientes no necesitan realizar ninguna acción. Sus sitios web se actualizarán automáticamente a las versiones corregidas de PHP una vez que estas se encuentren disponibles y hayan sido implementadas.
Actualizaremos este comunicado a medida que dispongamos de más información.