Nuevo agujero de seguridad en PHP detectado sin parche disponible aún

brown wooden door with padlock — iMattSmart / Unsplash

Investigadores de seguridad identificaron una nueva vulnerabilidad en PHP catalogada bajo el identificador CVE-2026-115560. El fallo fue reportado públicamente el 23 de octubre de 2026 y presenta riesgo de ejecución remota de código (RCE). La vulnerabilidad afecta a aplicaciones web con configuraciones de sesión específicas.

El equipo de PHP indicó que aún no existe un parche oficial disponible. Como medida temporal, los desarrolladores recomiendan desactivar la función session.upload_progress.enabled en la configuración del servidor. Esta configuración controla el seguimiento del progreso de las cargas de archivos y, al desactivarla, se elimina el vector de ataque.

Según el reporte, la explotación requiere que se cumplan varias condiciones simultáneas. Primero, la configuración session.serialize_handler debe establecerse en php_binary o php_serialize. Posteriormente, el código debe invocar a ini_set() para cambiar el handler a php antes de llamar a session_start(). Además, la opción session.upload_progress.enabled debe estar activa, que es el comportamiento por defecto.

Cloudflare informó que sus reglas de firewall de aplicaciones web (WAF) pueden bloquear intentos de explotación conocidos, aunque esta protección solo aplica a aplicaciones que utilizan el nombre predeterminado del campo de progreso de carga de PHP.

Investigaciones previas identificaron dos vulnerabilidades similares, CVE-2026-109618 y CVE-2026-109619, que permitían ejecución remota sin autenticación. El equipo lanzó parches para esas fallas en versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, pero esos parches no cubren la nueva CVE-2026-115560.

Hasta el momento no hay reportes confirmados de ataques activos explotando esta nueva vulnerabilidad en el mundo real.