PHP publica una nueva advertencia de seguridad
El equipo de seguridad de PHP emitió el 23 de octubre de 2026 un nuevo aviso informativo relacionado con una posible vulnerabilidad de ejecución remota de código (Remote Code Execution, RCE), identificada como CVE-2026-115560.
Aunque la explotación de esta vulnerabilidad requiere una combinación poco habitual de configuraciones y código de aplicación, los desarrolladores recomiendan aplicar una medida preventiva hasta la publicación de la próxima actualización de mantenimiento.
¿En qué consiste la vulnerabilidad?
El problema está relacionado con la funcionalidad de PHP que permite realizar un seguimiento del progreso de carga de archivos mediante sesiones, conocida como Session Upload Progress.
Para que se presente la condición vulnerable, deben cumplirse simultáneamente los siguientes requisitos:
- La aplicación debe configurar inicialmente
session.serialize_handlercon el valorphp_binaryophp_serialize. - Posteriormente, debe modificar dinámicamente ese parámetro a
phpmediante la funciónini_set(). - Este cambio debe realizarse antes de ejecutar
session_start(). - La funcionalidad de seguimiento del progreso de carga de archivos debe permanecer habilitada.
Esta combinación específica puede introducir un escenario de ejecución remota de código.
Sin embargo, el equipo de PHP aclara que las aplicaciones que no modifican dinámicamente el controlador de serialización de sesiones no están expuestas a este escenario particular y pueden mantener habilitada la funcionalidad.
Medida de mitigación recomendada
Como medida preventiva, el equipo de PHP recomienda deshabilitar temporalmente el seguimiento del progreso de carga de archivos mediante la siguiente configuración:
session.upload_progress.enabled=0Esta medida debe mantenerse hasta que se publique la próxima versión de PHP que incluya la corrección correspondiente.
Es importante destacar que esta recomendación ya había sido incluida como mitigación en el aviso de seguridad GHSA-6wmf-4rv5-p3rp, publicado el 21 de octubre de 2026 y relacionado con CVE-2026-109619.
Por lo tanto, los administradores que ya hayan aplicado esta configuración no necesitan realizar acciones adicionales respecto de este nuevo aviso.
¿Cuándo estará disponible la solución definitiva?
Debido a que la combinación de configuraciones necesaria para explotar esta vulnerabilidad es poco frecuente, los desarrolladores decidieron incorporar la corrección dentro del ciclo habitual de actualizaciones.
El equipo de PHP confirmó que publicará un aviso de seguridad completo para CVE-2026-115560 junto con la próxima versión de mantenimiento.
Recomendaciones para administradores de servidores
Como buenas prácticas de seguridad, se recomienda:
- Revisar la configuración de sesiones de PHP en los servidores y aplicaciones.
- Identificar aplicaciones que modifiquen dinámicamente
session.serialize_handler. - Evaluar la desactivación temporal de
session.upload_progress.enabled. - Mantener PHP actualizado con las últimas versiones de seguridad disponibles.
- Seguir los próximos avisos oficiales del proyecto PHP.
Cabe recordar que el 21 de octubre de 2026 también se publicaron actualizaciones de seguridad para PHP 8.2, 8.3, 8.4 y 8.5 destinadas a corregir otras dos vulnerabilidades críticas de ejecución remota de código: CVE-2026-109618 y CVE-2026-109619.
Conclusión
Aunque CVE-2026-115560 requiere condiciones específicas que reducen la probabilidad de explotación, el aviso demuestra la importancia de revisar las configuraciones de seguridad de los entornos PHP.
La aplicación de medidas preventivas, junto con una política de actualizaciones periódicas, continúa siendo fundamental para reducir la superficie de ataque de aplicaciones y servidores web.
Fuente oficial: PHP.net – Aviso informativo del 23 de octubre de 2026
Aviso de seguridad relacionado: GHSA-6wmf-4rv5-p3rp
