El equipo de PHP publicó un aviso sobre una nueva falla de seguridad que todavía no tiene parche. Es poco probable que te afecte, pero la solución temporal es un solo ajuste y vale la pena revisarlo.
Llega apenas dos días después de que PHP corrigiera dos fallas críticas, así que si administras servidores con PHP, esta semana conviene revisar la configuración con calma.
¿Qué pasó?
El 23 de octubre de 2026, PHP publicó un aviso informativo sobre la falla CVE-2026-115560. Se trata de una ejecución de código, es decir, un error que en el peor caso dejaría a un atacante correr sus propias instrucciones en el servidor. PHP todavía no ha dicho qué versiones están afectadas ni qué tan grave es.
La falla solo aparece si se juntan tres condiciones poco comunes. Primero, que la configuración use php_binary o php_serialize como formato para guardar las sesiones (las sesiones son la forma en que un sitio recuerda quién eres entre una página y otra). Segundo, que el código de la aplicación cambie ese formato a php con ini_set() justo antes de iniciar la sesión. Y tercero, que siga encendida la función de progreso de subidas de archivos, llamada session upload progress.
PHP recomienda apagar esa función con el ajuste session.upload_progress.enabled=0 hasta que salga la siguiente versión de mantenimiento. La corrección llegará en el ciclo normal de lanzamientos, no como versión de emergencia, y el aviso completo se publicará junto con ella.
Este aviso llega después de que el 21 de octubre PHP corrigiera dos fallas críticas conocidas como PHP2Shell, CVE-2026-109618 y CVE-2026-109619. Según BleepingComputer y SecureWorld, hubo intentos de ataque contra esas dos fallas desde antes de que salieran los parches.
¿Por qué te importa?
PHP mueve una gran parte de la web, incluidos WordPress y muchas tiendas en línea. Aunque esta falla necesita una combinación rara de configuración y código, nadie sabe a ciencia cierta qué hace cada plugin o aplicación heredada que tienes instalada.
La buena noticia es que, si ya apagaste el progreso de subidas para protegerte de CVE-2026-109619, no tienes que hacer nada más: PHP pide dejar ese ajuste tal como está. Y si tu aplicación nunca cambia el formato de las sesiones mientras corre, PHP dice que puedes mantener la función encendida.
SecureWorld añade un consejo útil: si quitaste el ajuste después de instalar los parches del 21 de octubre, vuelve a ponerlo. Y busca en tu código, incluidos plugins y frameworks de terceros, cualquier cambio del formato de sesiones mientras la app corre.
¿Qué puedes hacer?
- Revisa si tus servidores ya tienen
session.upload_progress.enableden 0. Si es así, déjalo como está. - Si no lo tienen y no usas barras de progreso al subir archivos, apágalo en la configuración principal de PHP y reinicia el servicio.
- Confirma que ya instalaste las versiones del 21 de octubre que corrigen PHP2Shell. Este ajuste no sustituye ese parche.
- Pregúntale a tu proveedor de hosting compartido si ya aplicó la medida, porque ahí normalmente no controlas
php.ini. - Pon una alerta para la próxima versión de mantenimiento de PHP e instálala en cuanto salga.
Sigue leyendo
- PHP lanza hoy parches para dos fallas críticas: prepárate
- Guía para desarrollar en WordPress en 2026: por dónde empezar
Fuentes
- SecureWorld: PHP2Shell Isn’t Over: New Unpatched RCE Flaw Surfaces
- BleepingComputer: PHP shares mitigation for new RCE vulnerability with no patch