Google Cloud Blog · Chris Betz, Raluca Ada Popa ·
Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
Google Cloud informa sobre dos vulnerabilidades críticas del runtime de PHP, con puntuación CVSS de 9,2, que pueden permitir ejecución remota de código sin autenticación o divulgación de memoria. Las fallas afectan a PHP 5.4–8.5.11 y están corregidas en PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12; las ramas 8.1 y anteriores no recibirán parches. Se recomienda actualizar a PHP 8.2 o posterior y volver a desplegar las aplicaciones, además de revisar las imágenes de contenedor y las opciones de actualización automática de cada servicio de Google Cloud.
Follow these recommendations to minimize remote code execution risks in PHP from two critical vulnerabilities in the core PHP language runtime.