PHP, 2026. Dos vulnerabilidades críticas dejaron expuestos a servidores web a una posible ejecución remota de código sin autenticación. El problema no estaba en WordPress, Laravel ni en el código de las aplicaciones. Estaba dentro del propio intérprete de PHP. Los fallos CVE-2026-109618 y CVE-2026-109619 afectaban la gestión de memoria: estructuras parcialmente inicializadas, punteros a memoria liberada y estados internos que podían sobrevivir a errores fatales. En determinadas condiciones, una petición HTTP manipulada podía desencadenar corrupción de memoria y permitir que un atacante ejecutara código en el servidor. La investigación recibió el nombre de PHP2Shell. El 21 de octubre se publicaron actualizaciones de emergencia para PHP 8.2, 8.3, 8.4 y 8.5. Lo más inquietante: una aplicación podía estar correctamente programada y seguir siendo vulnerable por el runtime que la ejecutaba. ¿De qué sirve blindar tu aplicación si el propio intérprete tiene una puerta abierta? #PHP