Ciberseguridad | Actualización PHP 2026
Nueva vulnerabilidad PHP 2026: riesgos y cómo proteger tu web
PHP confirma una nueva vulnerabilidad de seguridad apenas dos días después de sus parches de emergencia. Descubre qué sitios web podrían estar afectados, cuáles son los riesgos y cómo proteger tu servidor con las recomendaciones oficiales.
????El 23 de octubre de 2026, PHP confirmó una nueva vulnerabilidad de seguridad que podría permitir la ejecución remota de código en servidores con una configuración muy específica. El aviso llega apenas dos días después de las actualizaciones de emergencia publicadas para corregir dos fallos críticos.
La nueva vulnerabilidad, identificada como CVE-2026-115560, está relacionada con el manejo de sesiones y el seguimiento del progreso de subida de archivos en PHP.
Sin embargo, existe una diferencia fundamental respecto a las alertas anteriores: PHP considera improbable que se presente la combinación necesaria para explotar este nuevo problema. Por ese motivo, no ha anunciado otro parche de emergencia.
¿Tu página web podría estar afectada? ¿Es necesario actualizar PHP nuevamente? ¿Cómo puedes proteger tu servidor? A continuación, explicamos los detalles confirmados y las medidas recomendadas oficialmente.
¿Qué es la nueva vulnerabilidad PHP 2026?
La vulnerabilidad CVE-2026-115560 es un problema de seguridad relacionado con una combinación poco habitual de configuraciones del sistema de sesiones de PHP.
Según el comunicado oficial de PHP del 23 de octubre de 2026, el problema podría generar una vía de ejecución remota de código, conocida como RCE (Remote Code Execution).
¿Qué significa ejecución remota de código?
Una vulnerabilidad RCE puede permitir que un atacante ejecute instrucciones no autorizadas en un sistema vulnerable. Dependiendo del escenario y de los privilegios disponibles, esto podría comprometer la seguridad de una aplicación o servidor.
No obstante, identificar una posible vía de ejecución remota de código no significa que cualquier página web pueda ser atacada automáticamente.
En este caso, el problema requiere condiciones técnicas concretas que no suelen presentarse en las aplicaciones convencionales.
¿Por qué se descubrió otra vulnerabilidad después de los parches de emergencia?
El 21 de octubre de 2026, el equipo de seguridad de PHP publicó actualizaciones urgentes para corregir dos vulnerabilidades críticas capaces de permitir ejecución remota de código sin autenticación.
Estas vulnerabilidades fueron identificadas como:
- CVE-2026-109618: corrupción del estado interno de PHP relacionada con el manejo de situaciones de memoria insuficiente.
- CVE-2026-109619: reutilización de estado interno después de que la memoria asociada hubiera sido liberada.
Para solucionar estos problemas, PHP publicó las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, según la rama utilizada.
La nueva CVE-2026-115560 corresponde a un escenario distinto, que no quedó corregido mediante aquellas versiones.
La recomendación preventiva, sin embargo, coincide con una de las mitigaciones propuestas en el aviso anterior: desactivar el seguimiento de progreso de subida de archivos mediante sesiones.
La información técnica sobre las alertas originales puede consultarse en el aviso de seguridad del 21 de octubre publicado por PHP.
¿Qué páginas web podrían estar afectadas por CVE-2026-115560?
No todas las aplicaciones desarrolladas en PHP presentan esta vulnerabilidad. Para que exista el escenario descrito oficialmente, deben cumplirse simultáneamente varias condiciones.
- La aplicación debe tener configurado inicialmente
session.serialize_handlercomophp_binaryophp_serialize. - Durante la ejecución, debe cambiar ese valor a
phpmediante la funciónini_set(). - El cambio debe producirse antes de llamar a
session_start(). - La opción
session.upload_progress.enableddebe permanecer activada.
Esta combinación de configuración y código es poco frecuente.
De hecho, PHP señala expresamente que las aplicaciones que nunca cambian el serializador de sesiones durante la ejecución pueden mantener habilitado el seguimiento de progreso de subida sin presentar esta vía específica de ataque.
Por lo tanto, utilizar PHP, Laravel, CodeIgniter, WordPress u otra aplicación basada en PHP no implica por sí mismo estar afectado. Lo determinante es si se cumplen las condiciones técnicas descritas.
¿Cuál es el nivel de gravedad de esta nueva vulnerabilidad?
Hasta el comunicado del 23 de octubre de 2026, el equipo de PHP no había publicado todavía una evaluación completa de gravedad ni una lista definitiva de versiones afectadas por CVE-2026-115560.
PHP ha considerado improbable el escenario necesario para que ocurra el problema y ha decidido resolverlo mediante su ciclo ordinario de actualizaciones, en lugar de publicar inmediatamente otro parche de emergencia.
Esto no significa que la vulnerabilidad deba ignorarse. Significa que el riesgo debe evaluarse de acuerdo con la configuración real de cada aplicación.
El comunicado oficial tampoco informa de casos confirmados de explotación activa de esta nueva vía.
¿Cómo proteger un servidor PHP de CVE-2026-115560?
La medida preventiva recomendada por los desarrolladores consiste en desactivar temporalmente el mecanismo nativo de seguimiento de progreso de subida de archivos mediante sesiones.
1. Desactivar session.upload_progress.enabled
En la configuración correspondiente de PHP debe establecerse:
session.upload_progress.enabled = 0Este ajuste desactiva la funcionalidad involucrada en la vía de ataque descrita en el nuevo comunicado.
Si el servidor ya tiene aplicada esta mitigación desde el 21 de octubre y sigue activa, PHP indica que no es necesaria ninguna otra medida específica para este nuevo problema.
2. Aplicar el cambio en la configuración del servidor
La modificación debe aplicarse en una configuración que tenga efecto antes de que PHP procese las solicitudes HTTP.
Dependiendo del entorno, puede utilizarse el archivo php.ini, la configuración administrativa de PHP-FPM o la configuración correspondiente del servidor web.
Si es necesario modificar esta configuración, se deben reiniciar o recargar adecuadamente los procesos PHP afectados para asegurar que todos los trabajadores utilicen el nuevo valor.
No debe utilizarse ini_set() dentro de la aplicación como sustituto de esta medida. El seguimiento de subida puede ejecutarse durante el procesamiento inicial de la solicitud, antes de que se ejecute el código de la aplicación.
3. Comprobar que la mitigación esté activa
Los administradores pueden revisar el valor efectivo de session.upload_progress.enabled mediante las herramientas de configuración del alojamiento o una comprobación de PHP realizada en el mismo entorno que atiende las solicitudes web.
Cuando se utilice PHP-FPM, por ejemplo, es importante verificar el valor aplicado al sitio correspondiente y no confiar exclusivamente en una consulta realizada mediante PHP CLI, porque ambos entornos pueden utilizar configuraciones diferentes.
El valor efectivo debe ser 0 o equivalente a desactivado.
Si se utiliza temporalmente una página con phpinfo() para comprobar la configuración, debe restringirse su acceso y eliminarse una vez realizada la verificación, para evitar exponer información del servidor.
4. Revisar el código que cambia el serializador de sesiones
Los desarrolladores también pueden comprobar si sus aplicaciones realizan cambios dinámicos en session.serialize_handler.
La revisión debe centrarse en las configuraciones de sesiones y en las llamadas a ini_set() que modifiquen el serializador antes de session_start().
Encontrar una referencia a session.serialize_handler no demuestra por sí mismo que exista una vulnerabilidad. Se necesita comprobar el comportamiento real de la aplicación y las demás condiciones del aviso.
¿Desactivar el seguimiento de progreso impide subir imágenes o documentos?
No. Desactivar session.upload_progress.enabled no equivale a desactivar la subida de archivos de PHP.
Esta opción controla específicamente el mecanismo que permite consultar información sobre el progreso de determinados archivos durante una subida mediante las sesiones.
Una aplicación puede continuar permitiendo que sus usuarios carguen imágenes, documentos y otros archivos utilizando sus mecanismos habituales.
Sin embargo, si la aplicación depende directamente del seguimiento de progreso nativo basado en sesiones, desactivar la opción podría afectar la información que muestra su barra de progreso.
En esos casos, es recomendable revisar esa dependencia y valorar un mecanismo alternativo.
Puedes consultar el funcionamiento de esta característica en la documentación oficial de PHP sobre el progreso de subida de archivos.
¿Qué versiones de PHP están afectadas por esta vulnerabilidad?
Al 23 de octubre de 2026, el equipo oficial de PHP todavía no había publicado una lista completa de versiones afectadas específicamente por CVE-2026-115560.
Por esta razón, no sería correcto afirmar que todas las versiones de PHP presentan necesariamente esta vulnerabilidad ni identificar una versión concreta como corregida sin una confirmación oficial.
PHP ha anunciado que publicará un aviso técnico completo junto con la próxima versión que incorpore la corrección.
¿Es necesario actualizar PHP nuevamente?
Es importante distinguir entre las vulnerabilidades críticas del 21 de octubre y el nuevo problema anunciado el 23 de octubre.
Las actualizaciones de emergencia a PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12 siguen siendo necesarias para corregir los dos problemas críticos anteriores en sus respectivas ramas.
En cambio, la corrección específica de CVE-2026-115560 está prevista para una próxima actualización ordinaria.
Mientras se publica, la recomendación oficial consiste en mantener desactivado session.upload_progress.enabled si se desea eliminar esta vía de riesgo.
La mitigación de esta nueva vulnerabilidad no sustituye los parches de emergencia del 21 de octubre. PHP ha advertido que para aquellos dos problemas críticos la actualización es la única solución completa.
Preguntas frecuentes sobre la vulnerabilidad PHP 2026
¿La nueva vulnerabilidad afecta a todas las páginas web creadas con PHP?
No. CVE-2026-115560 requiere una combinación poco habitual de configuración y cambios en el manejo de las sesiones. Una aplicación no está necesariamente afectada por el simple hecho de utilizar PHP.
¿PHP ha publicado un nuevo parche de emergencia?
No. En su comunicado del 23 de octubre, PHP indicó que la corrección se incluirá en el ciclo ordinario de mantenimiento.
¿Cuál es la solución temporal recomendada?
Establecer session.upload_progress.enabled = 0 en la configuración efectiva del servidor PHP y verificar que el cambio esté aplicado.
¿Debo modificar mi aplicación Laravel o CodeIgniter?
No necesariamente. Primero hay que comprobar si existe la combinación de configuraciones afectada y si el seguimiento de progreso de subida está activo. No debe asumirse que un framework es vulnerable únicamente por utilizar PHP.
¿Qué ocurre si ya instalé los parches del 21 de octubre?
Esas actualizaciones corrigen las dos vulnerabilidades críticas anunciadas anteriormente, pero no CVE-2026-115560. Si también desactivaste session.upload_progress.enabled y la configuración permanece efectiva, la mitigación recomendada para la nueva vulnerabilidad ya está aplicada.
¿Se están produciendo ataques mediante esta nueva vulnerabilidad?
El comunicado oficial del 23 de octubre no reporta casos confirmados de explotación activa. Esto no constituye una garantía de que no puedan aparecer nuevos hallazgos posteriormente.
La importancia de mantener la seguridad de tu página web
Los acontecimientos de octubre de 2026 demuestran que la seguridad de una página web no depende únicamente de instalar una actualización.
También requiere revisar configuraciones del servidor, mantener las dependencias, comprobar el funcionamiento de las aplicaciones y aplicar medidas preventivas respaldadas por los responsables del software.
Una página web puede funcionar aparentemente bien y, aun así, utilizar una versión desactualizada o una configuración que incremente su exposición a determinados riesgos.
Por eso, es importante realizar mantenimiento periódico y evaluar los avisos de seguridad según su gravedad y las condiciones reales de cada instalación.
¿Tu página web cuenta con una configuración segura?
En VIEWGITAL trabajamos en el desarrollo y mantenimiento de soluciones web, con especial atención al rendimiento, funcionamiento y seguridad de las plataformas digitales.
Si tienes una página web empresarial, una tienda virtual o una aplicación personalizada, mantener actualizada su infraestructura y revisar regularmente sus configuraciones es fundamental para reducir riesgos.
La seguridad web es un proceso continuo: prevenir, actualizar y verificar es tan importante como desarrollar.
Fuentes oficiales y referencias
- PHP.net — Aviso informativo del 23 de octubre de 2026 sobre el progreso de subida en sesiones.
- PHP.net — Aviso de seguridad del 21 de octubre de 2026 sobre vulnerabilidades críticas.
- PHP.net — Configuración oficial de sesiones.
- PHP.net — Documentación del seguimiento de progreso de subida de archivos.
Información verificada con base en los comunicados oficiales de PHP disponibles el 23 de octubre de 2026. Las condiciones, versiones afectadas y recomendaciones podrían actualizarse cuando PHP publique el aviso técnico completo de CVE-2026-115560.??
