- ¿Otra vulnerabilidad crítica de seguridad en PHP en 2026?26¢26 %
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Reglas
Este mercado se resolverá a "Sí" si una vulnerabilidad crítica en PHP se divulga públicamente por primera vez entre la creación del mercado y el 31 de diciembre de 2026 a las 23:59 ET, y cumple todos los requisitos siguientes antes de esa fecha límite. De lo contrario, este mercado se resolverá con "No". La divulgación pública significa que hay información disponible públicamente suficiente para identificar la vulnerabilidad concreta, ya sea mediante un aviso oficial, una publicación de un investigador, una filtración o una confirmación de código pública. Una advertencia general sobre una vulnerabilidad no especificada no será suficiente por sí sola para cumplir los requisitos. Una vulnerabilidad divulgada públicamente antes de la creación del mercado no cumplirá los requisitos por el mero hecho de recibir un identificador CVE o una puntuación que cumpla los requisitos durante el periodo del mercado. Una vulnerabilidad que cumpla los requisitos debe afectar al propio PHP (el intérprete de PHP y las extensiones incluidas en el código fuente oficial de php-src), tener asignado un identificador CVE disponible públicamente y recibir una puntuación base CVSS publicada de 9.0 o superior (con cualquier versión de CVSS) por parte del proyecto PHP o de la Base de Datos Nacional de Vulnerabilidades de EE. UU. (NVD). Las vulnerabilidades que afecten únicamente a versiones de PHP sin soporte o a extensiones incluidas opcionales cumplirán los requisitos si satisfacen los demás requisitos. Las extensiones distribuidas por separado de php-src (por ejemplo, a través de PECL) no cumplirán los requisitos. Bastará con que una de las fuentes otorgue una puntuación que cumpla los requisitos, independientemente de que la otra fuente o una versión distinta de CVSS otorgue una puntuación más baja. Solo contará una puntuación publicada por la propia NVD (atribuida a NIST) o por el proyecto PHP; las puntuaciones que muestre la NVD pero atribuya a cualquier otra organización no cumplirán los requisitos. Una vez que se hayan cumplido todos los requisitos durante el periodo del mercado, las revisiones posteriores de las puntuaciones no afectarán a la resolución. CVE-2026-109618 y CVE-2026-109619 ("PHP2Shell") no cumplirán los requisitos. No se considerarán válidas las vulnerabilidades en software de terceros escrito en PHP o que se ejecute sobre PHP (por ejemplo, WordPress, Laravel, Drupal, complementos u otros frameworks y bibliotecas). La fuente principal para la resolución de este mercado será la información oficial del proyecto PHP (incluidos php.net y los avisos de seguridad de php-src en GitHub) y la NVD (https://nvd.nist.gov); no obstante, también podrá utilizarse el consenso de fuentes informativas fiables.
Traducción automática. En caso de disputa, prevalece el original.