PHP en resumen
Dos días después de las versiones de PHP2Shell, PHP recomendó desactivar el progreso de carga de sesiones hasta su próxima versión regular de correcciones, que traerá el aviso completo de CVE-2026-115560. Solo una configuración poco común está expuesta.
PHP: estado
- Afectado
- PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (y anteriores) cuando el progreso de carga de sesiones está activado y el serializador de sesiones se cambia a php en tiempo de ejecución
- Identificadores CVE
- Estado al
Qué cambió con PHP
El 23 de octubre de 2026, el proyecto PHP publicó un aviso informativo sobre una vía restante, y poco probable, de ejecución remota de código que las versiones del 21 de octubre (8.5.12, 8.4.27, 8.3.36 y 8.2.35) no cierran. Se identifica como CVE-2026-115560, y PHP dice que el aviso completo saldrá con la próxima versión regular de correcciones.
La falla requiere una combinación poco común de configuración y código: la configuración define session.serialize_handler como php_binary o php_serialize, la aplicación lo cambia a php con ini_set() antes de llamar a session_start() y el progreso de carga de sesiones sigue activado. Las aplicaciones que nunca cambian el serializador en tiempo de ejecución pueden dejar la función activa. Mientras tanto, PHP recomienda session.upload_progress.enabled=0, el mismo ajuste que ya figuraba como mitigación de CVE-2026-109619; si ya lo aplicaste, no necesitas hacer nada más.
Cómo corregirlo: PHP
1. Configuración
Define session.upload_progress.enabled=0 hasta la próxima versión regular de correcciones de PHP. Si ya lo aplicaste por CVE-2026-109619, mantenlo.
php.net (se abre en una pestaña nueva)2. Vigilar
Revisa php.net para la próxima versión de correcciones y el aviso completo de CVE-2026-115560, y luego actualiza.
php.net (se abre en una pestaña nueva)
Avisos de seguridad
Por qué PHP importa para los negocios
Para las empresas, esto es una revisión de seguimiento, no una nueva emergencia. Si administras hosting PHP para clientes, confirma si se usa el progreso de carga de sesiones, mantenlo desactivado donde puedas hasta la próxima versión de PHP y agrega esa versión a tu calendario de parches.
PHP: actualizaciones desde la publicación
Cambios fechados desde la publicación. El texto original de arriba se conserva tal como se escribió en su fecha.
Estado (Actualizado)Solución temporal
CISA agregó la falla relacionada CVE-2026-109619 a su catálogo de vulnerabilidades explotadas el 26 de octubre de 2026.
cisa.gov (se abre en una pestaña nueva)
Fuentes de esta noticia
- Oficial
- RCE via stale global state (GHSA-6wmf-4rv5-p3rp) (se abre en una pestaña nueva)Oficial
php/php-src on GitHub · github.com
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #php
- #php2shell
- #follow-up