Alerta de ciberseguridad crítica en PHP (INCIBE-2026-762): impacto en protección de datos (RGPD y LOPDGDD) y medidas de actualización

El Instituto Nacional de Ciberseguridad (INCIBE-CERT) ha emitido y actualizado recientemente una alerta de nivel 5 — Crítica (identificador INCIBE-2026-762, actualizada el 26 de octubre de 2026) relativa a múltiples vulnerabilidades graves en el núcleo de PHP, el lenguaje de código abierto sobre el que operan la gran mayoría de sitios web corporativos, gestores de contenidos (como WordPress o Drupal) y plataformas de gestión documental, áreas de clientes y visores cartográficos.

Desde nuestros servicios de protección de datos (RGPD y LOPDGDD), sistemas de gestión y transformación digital segura en TyP Consultores, compartimos las claves técnicas y normativas de este aviso para facilitar su rápida remediación y evitar brechas de seguridad que comprometan información confidencial o datos personales.

¿En qué consisten las vulnerabilidades detectadas?

El aviso de INCIBE-CERT recoge tres fallos críticos que podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario (RCE) con los privilegios del proceso web:

• CVE-2026-109618 (CVSS 9.2): Ejecución remota de código por corrupción de memoria durante un agotamiento de recursos (Out-Of-Memory u OOM), especialmente explotable mediante solicitudes POST multipart manipuladas.
• CVE-2026-109619 (CVSS 9.2): Ejecución remota de código por uso de estado global obsoleto (Use-After-Free) en procesos trabajadores que gestionan peticiones sucesivas tras un error fatal o una operación de sesión.
• CVE-2026-115560 (Actualización del 26/10/2026): Posible ejecución remota de código bajo una combinación específica de configuración de sesiones (session.serialize_handler alterado en tiempo de ejecución mediante ini_set() con session.upload_progress.enabled activo).

El riesgo afecta a todas las instalaciones que procesan solicitudes web —incluyendo PHP-FPM, Apache mod_php (donde la exposición es mayor), php-cgi, FrankenPHP y LiteSpeed—, habiéndose registrado intentos de explotación activa previos a la liberación de los parches.

Versiones afectadas y parches disponibles

Implicaciones desde la perspectiva del RGPD y la LOPDGDD

Desde el punto de vista normativo de protección de datos personales (artículo 32 del RGPD y Ley Orgánica 3/2018, LOPDGDD), tanto los responsables como los encargados del tratamiento están obligados a aplicar medidas técnicas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y preservar la confidencialidad, integridad y disponibilidad de los sistemas.

• Deber de diligencia y gestión de vulnerabilidades: Mantener en producción motores de PHP sin parchear frente a vulnerabilidades de ejecución remota de código públicamente documentadas y con explotación activa supone una brecha en el deber de seguridad proactiva, especialmente en portales con formularios de contacto, áreas privadas de clientes, intranets o comercio electrónico.
• Prevención y gestión de brechas de datos (arts. 33 y 34 RGPD): Una intrusión derivada de un fallo RCE puede comprometer bases de datos y archivos alojados en el servidor, activando la obligación de evaluar el incidente y, cuando exista riesgo para los derechos y libertades de los afectados, notificar la brecha a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas.

Recomendaciones y medidas de mitigación inmediata

1. Actualización prioritaria: La única solución definitiva es actualizar de inmediato el motor de PHP a las versiones corregidas (8.5.12, 8.4.27, 8.3.36 u 8.2.35) a través del proveedor de alojamiento (hosting), panel de administración de servidor o paquetes de distribución Linux, verificando que los parches preventivos del proveedor estén activos.
2. Desactivación preventiva del progreso de subida en sesión: Si no es posible aplicar el parche de forma inmediata o para mitigar específicamente la variante CVE-2026-115560, se debe fijar administrativamente la directiva session.upload_progress.enabled = 0 (por ejemplo, mediante php_admin_value) y reiniciar todos los procesos trabajadores (workers).
3. Control de memoria y peticiones POST (mitigación temporal): En entornos donde la actualización deba programarse, se recomienda restringir post_max_size (8 MB si no se requieren cargas de archivos; 32 MB si son necesarias), mantener upload_max_filesize por debajo de ese umbral y, en PHP 8.5, desactivar fatal_error_backtraces.
4. Registro de evidencias de cumplimiento (LOPDGDD / ISO): Documentar la verificación de versión o la confirmación del proveedor de alojamiento dentro del registro de controles técnicos de seguridad de la organización.

En TyP Consultores mantenemos nuestra infraestructura actualizada bajo estrictos estándares de seguridad para garantizar la confidencialidad e integridad de la documentación técnica, ambiental y corporativa de nuestros clientes, y asesoramos a empresas y entidades en la adecuación y mantenimiento de sus sistemas de gestión y protección de datos (RGPD / LOPDGDD).

¿Necesitas asesoramiento en protección de datos (LOPDGDD / RGPD), auditoría de cumplimiento o implantación de sistemas de gestión? Cuéntanos tu caso.

Consultar aviso oficial en INCIBE-CERT