AWS ha emitido un comunicado de seguridad para abordar dos vulnerabilidades críticas en los entornos web de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Estas fallos permiten a un actor no autenticado ejecutar código arbitrario, leer datos accesibles por el proceso o causar denegación de servicio en los trabajadores PHP afectados. El riesgo es accesible de forma remota a través de la frontera de la aplicación, aunque no se ha establecido propagación entre clientes.
El impacto varía según la versión de PHP: las versiones 8.5.0 a 8.5.11, 8.4.0 a 8.4.26, 8.3.0 a 8.3.35 y 8.2.0 a 8.2.34 están afectadas, con versiones corregidas disponibles para 8.5.12, 8.4.27, 8.3.36 y 8.2.35 respectivamente. Las versiones 5.4 a 8.1 ya están en fin de vida y no cuentan con parches upstream, requiriendo migración inmediata.
AWS ha implementado controles de mitigación específicos para cada servicio. En Amazon WorkMail, se aplicarán controles de configuración para limitar el acceso, con una actualización de PHP 8.3.36 prevista para el 21 de octubre de 2026. AWS Elastic Beanstalk ha lanzado la versión v4.13.12 del PHP, y los clientes con actualizaciones gestionadas recibirán el parche automáticamente. Amazon Linux recibirá paquetes actualizados el 21 de octubre. Para Amazon Lightsail, se publicarán nuevos blueprints actualizados, ya que no es posible actualizar las instancias en ejecución. La recomendación principal es actualizar a las versiones parcheadas de PHP de inmediato, ya que es la única solución completa.