Nueva vulnerabilidad en «PHP» identificada, entorno afectado es limitado

Close-up of a piano keyboard in black and white — Zulfugar Karimov / Unsplash

Se ha confirmado una nueva vulnerabilidad en el lenguaje de programación «PHP». A diferencia de las dos vulnerabilidades graves que atrajeron gran atención recientemente, esta falla tiene un alcance limitado y se espera que sea corregida en futuras actualizaciones.

El equipo de desarrollo publicó un aviso el 23 de octubre de 2026, detallando la vulnerabilidad identificada como «CVE-2026-115560». Es importante señalar que, aunque se lanzaron actualizaciones el 21 de octubre para corregir las vulnerabilidades graves «CVE-2026-109618» y «CVE-2026-109619», la nueva vulnerabilidad es diferente de estas.

La vulnerabilidad está relacionada con un problema en la función que rastrea el estado de carga de archivos durante las sesiones. Esta situación podría permitir la ejecución remota de código si se combinan configuraciones específicas y el procesamiento de ciertas aplicaciones.

No se han preparado programas de corrección para esta vulnerabilidad en el momento de la publicación del aviso. El equipo de desarrollo ha indicado que se requieren múltiples condiciones para que esta vulnerabilidad sea explotable, por lo que el entorno afectado es limitado. Se planea realizar la corrección en el ciclo de lanzamiento habitual.

Mientras se espera la próxima actualización que corrija la vulnerabilidad, se están proporcionando medidas de mitigación que implican deshabilitar las funciones relacionadas.