El equipo de seguridad de PHP ha informado sobre una vulnerabilidad crítica de ejecución remota de código (RCE) identificada como CVE-2026-115560, que afecta a sistemas con configuraciones poco comunes y para la cual todavía no existe un parche disponible, según un comunicado oficial emitido recientemente.
Detalles técnicos de la vulnerabilidad
Esta falla puede ser explotada únicamente en entornos donde la aplicación configure session.serialize_handler a php_binary o php_serialize y luego cambie este valor a php en tiempo de ejecución mediante ini_set() antes de invocar session_start(). Además, debe estar habilitada la opción de progreso de carga de sesión (session.upload_progress.enabled), una combinación poco común en la práctica.
El equipo de PHP explicó que las aplicaciones que no modifican el controlador de serialización en tiempo de ejecución pueden mantener esta función activada sin riesgo.
Te puede interesar
TecnologíaLinus Torvalds defiende el uso responsable de IA en el desarrollo del kernel LinuxEl creador del kernel Linux, Linus Torvalds, respalda el uso de inteligencia artificial como herramienta para desarrolla…Leer la nota Recomendaciones provisionales y contexto
Mientras se prepara un parche oficial que se incluirá en el próximo ciclo de lanzamiento, los desarrolladores de PHP recomiendan deshabilitar la función de progreso de carga de sesión estableciendo session.upload_progress.enabled=0 para mitigar el riesgo. Esta medida preventiva ya fue aplicada antes del lanzamiento de parches para otras vulnerabilidades críticas conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619).
Incidentes y detección de intentos de explotación
Antes de la publicación de los parches para PHP2Shell, varias empresas de ciberseguridad, incluyendo Cloudflare y Amazon Threat Intelligence, detectaron intentos de explotación fallidos. Según CJ Moses, director de seguridad de AWS, estos ataques provinieron de múltiples actores y aunque no se ha confirmado la efectividad de los mismos, la situación sigue siendo vigilada de cerca.
El equipo TRACE de Dataminr reportó que hasta el momento las actividades observadas se limitan a escaneos y pruebas de exploits no funcionales, sin compromisos confirmados, aunque advierte que la aparición de exploits funcionales es cuestión de tiempo.
Importancia y alcance de PHP en la web
PHP es un lenguaje de programación de código abierto utilizado en aproximadamente el 70% de los sitios web a nivel mundial. Según estimaciones de VirusTotal, existen más de 5.1 millones de hosts PHP expuestos en línea, de los cuales cerca de 3.8 millones tienen al menos un puerto abierto a posibles ataques, lo que subraya la importancia de aplicar las medidas de mitigación recomendadas.
