PHP comunica un tercer riesgo de seguridad tras corregir dos fallos críticos

Un aviso nuevo, no una tercera emergencia general

PHP ha comunicado este 23 de octubre un tercer vector de ejecución remota de código, identificado como CVE-2026-115560, dos días después de publicar correcciones para otras dos vulnerabilidades críticas. El nuevo problema afecta a la gestión de sesiones y al seguimiento del progreso de las subidas de archivos. La novedad importa para quienes mantienen servidores, pero el propio proyecto la describe como improbable y condicionada a una configuración inusual.

Para que se dé el escenario descrito, la aplicación debe tener activado el seguimiento de subidas y combinar determinados manejadores de serialización de sesión con un cambio posterior realizado desde el código antes de iniciar la sesión. No basta con que una web use PHP, WordPress o permita subir archivos: la advertencia depende de cómo esté configurado y programado el servidor. PHP no ha publicado todavía una ficha técnica completa de esta vulnerabilidad.

Qué pasó con los dos fallos anteriores

La alerta original se refería a CVE-2026-109618 y CVE-2026-109619, dos fallos del núcleo de PHP que, bajo ciertas condiciones, podían permitir ejecutar código a distancia sin autenticación. El proyecto publicó el 21 de octubre las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Su recomendación es instalar la actualización correspondiente; las distribuciones de Linux pueden ofrecer el arreglo mediante sus propios paquetes y fechas.

La difusión de esas vulnerabilidades provocó que organizaciones desconectaran temporalmente algunos servicios por precaución, según informó BBC Mundo. La cobertura española de MuyLinux añade que Amazon observó intentos contra sus sistemas señuelo desde el 17 de octubre, antes de la divulgación pública. Eso acredita actividad de exploración, no que esos intentos lograran vulnerar servidores reales: los reportes consultados no confirman compromisos exitosos atribuibles a ellos.

La medida temporal y sus límites

Para el nuevo CVE, PHP aconseja desactivar session.upload_progress.enabled hasta la próxima versión ordinaria. El proyecto indica que quien ya aplicó este ajuste siguiendo la recomendación anterior no tiene que repetirlo. No ha anunciado una actualización urgente para CVE-2026-115560: considera que la combinación necesaria es poco probable y prevé publicar el análisis completo con una versión posterior.

Esta medida no sustituye los parches de los dos fallos críticos. CERT-EU, el equipo de respuesta a incidentes de las instituciones europeas, recomienda actualizar de inmediato las instalaciones afectadas y, si no es posible, aislar los servicios expuestos hasta verificar la corrección. También advierte de que los parches y medidas temporales no permiten concluir por sí solos que un sistema no haya sido comprometido; la investigación de cada organización sigue siendo necesaria.

Qué conviene comprobar

La tarea corresponde sobre todo a proveedores de alojamiento, administradores y responsables de aplicaciones, que quizá no gestionen PHP de forma directa si está incluido en un servicio de terceros. Conviene preguntar qué versión y paquete están ejecutándose, confirmar que el proveedor instaló la corrección y revisar el aviso oficial para el nuevo ajuste. Actualizar el gestor de contenidos o sus extensiones, por sí solo, no corrige vulnerabilidades del intérprete PHP.

La escala del episodio debe contarse con cautela. BBC Mundo recogió una estimación de que cerca del 70 % de internet estaría afectado, pero indicó expresamente que no pudo verificarla; no es una medida confirmada de sitios vulnerables, caídos o atacados. A fecha de este aviso, la conclusión más precisa es más acotada: dos vulnerabilidades críticas ya tienen versiones correctoras, mientras que el tercer vector exige una combinación poco común y cuenta con una mitigación temporal recomendada por el fabricante.