✨︎ Resumen (TL;DR):
- PHP informó el 23 de octubre de 2026 sobre CVE-2026-115560, una vía de ejecución remota de código que todavía no tiene parche.
- El riesgo requiere una combinación poco común de configuración y código de la aplicación, con
session.upload_progress.enabledactivo.- Las actualizaciones contra PHP2Shell siguen siendo necesarias: las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 corrigen dos fallas que pueden permitir ejecutar código en servidores sin autenticación.
El equipo de seguridad de PHP advirtió el 23 de octubre de 2026 sobre CVE-2026-115560, una vía de ejecución remota de código que todavía no tiene parche. La explotación depende de una combinación poco común entre la configuración y el código de la aplicación, por lo que el proyecto recomienda desactivar temporalmente el seguimiento del progreso de las cargas mientras llega la próxima actualización ordinaria.
El riesgo aparece cuando ciertos cambios en el formato de las sesiones ocurren durante la ejecución y el seguimiento de cargas permanece activo. PHP considera poco probable que esa combinación se presente, pero publicará el aviso completo junto con su próxima versión ordinaria.
La mitigación temporal para la nueva falla
PHP recomienda desactivar el seguimiento del progreso de las cargas con session.upload_progress.enabled=0. La medida aborda la vía concreta asociada con la configuración vulnerable y debe mantenerse hasta la siguiente actualización ordinaria.
Quienes aplicaron ese ajuste después de la alerta del 21 de octubre deben conservarlo. El aviso distingue esta medida de los parches contra PHP2Shell: para esos dos fallos, PHP indica que únicamente actualizar ofrece una solución completa.
PHP2Shell todavía exige actualizar
El aviso llegó dos días después de las actualizaciones contra PHP2Shell. La PHP Foundation confirmó que las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 corrigen CVE-2026-109618 y CVE-2026-109619, dos fallas que pueden permitir ejecutar código en servidores sin autenticación.
El cambio de configuración aborda una vía específica, no los dos fallos críticos reportados el 21 de octubre. Para PHP2Shell, el equipo de PHP sostiene que únicamente actualizar ofrece una solución completa.
En Linux, revisa el paquete del proveedor
Las distribuciones de Linux pueden incorporar la corrección en sus propios paquetes y conservar la versión base de PHP. Por eso, el número que aparece como versión principal no siempre revela por sí solo si el arreglo ya está instalado.
Canonical ofrece un ejemplo para Ubuntu 24.04: su aviso identifica el paquete corregido 8.3.6-0ubuntu0.24.04.13. El paquete conserva la numeración 8.3.6, aunque la versión del proyecto PHP que corrige esa rama es 8.3.36.
La diferencia vuelve insuficiente revisar únicamente la versión base. También hay que consultar el identificador completo del paquete y el aviso del proveedor para confirmar que la corrección llegó al sistema.
Después de instalar los paquetes actualizados, Canonical señala que puede ser necesario reiniciar la aplicación que utiliza PHP. Ese paso permite que la aplicación ejecute los componentes corregidos.
La respuesta queda dividida en dos tareas. Para CVE-2026-115560, hay que mantener desactivado el seguimiento de cargas hasta la próxima actualización ordinaria. Para PHP2Shell, hay que instalar la versión de PHP o el paquete del proveedor que incluya las correcciones, sin tomar la numeración base como única referencia.
