PHP recomienda desactivar el progreso de subida de sesiones para mitigar un nuevo riesgo de RCE

El proyecto PHP ha emitido un aviso informativo advirtiendo de una nueva vulnerabilidad de ejecución remota de código (RCE), identificada como CVE-2026-115560. Esta advertencia llega solo dos días después del lanzamiento de parches de emergencia para las críticas fallos de PHP2Shell. El proyecto recomienda que los administradores desactiven inmediatamente la función de progreso de subida de sesiones como estrategia de mitigación.

Qué ocurrió

El 23 de octubre, el equipo de desarrollo de PHP publicó un breve aviso detallando el nuevo problema de seguridad. A diferencia de las vulnerabilidades críticas anteriores, este fallo no afecta a todas las instalaciones de PHP. Apunta a una configuración estrecha y poco común donde una aplicación cambia dinámicamente su manejador de serialización de sesiones durante la ejecución. Específicamente, el riesgo existe cuando una aplicación establece la opción session.serialize_handler en php_binary o php_serialize en su configuración, y luego la cambia a php usando ini_set() antes de llamar a session_start(), mientras el progreso de subida de sesiones permanece habilitado.

El equipo de PHP ha clasificado esto como un riesgo improbable en la práctica porque la mayoría de las aplicaciones no cambian los manejadores de serialización sobre la marcha. En consecuencia, no están emitiendo un parche de emergencia. En su lugar, la corrección se incluirá en la próxima versión rutinaria de corrección de errores. El aviso establece explícitamente que configurar session.upload_progress.enabled=0 neutraliza la amenaza. Esta es la misma mitigación recomendada para la anterior vulnerabilidad de PHP2Shell, lo que significa que los administradores que ya aplicaron ese cambio también están protegidos contra este nuevo problema.

Esta nueva vulnerabilidad es distinta de los dos fallos críticos parcheados el 21 de octubre, conocidos como CVE-2026-109618 y CVE-2026-109619. Esos fallos anteriores permitían a atacantes no autenticados ejecutar código en servidores y fueron abordados en las versiones de PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El problema actual, CVE-2026-115560, no se resuelve con esas actualizaciones. Hasta ahora no se han reportado exploits dirigidos a esta nueva vulnerabilidad.

Detalles clave

• ID de Vulnerabilidad: La CVE-2026-115560 afecta a instalaciones de PHP con configuraciones específicas de serialización dinámica de sesiones.
• Mitigación: Establezca session.upload_progress.enabled=0 en su configuración de PHP hasta que se libere una corrección rutinaria.
• Alcance: El riesgo se limita a aplicaciones que cambian session.serialize_handler mediante ini_set() antes de session_start().
• Estado: No se está emitiendo un parche de emergencia; la corrección llegará en la próxima versión regular de mantenimiento.
• Parches Anteriores: Los lanzamientos de emergencia del 21 de octubre para CVE-2026-109618 y CVE-2026-109619 no corrigen este nuevo problema.
• Explotación: No hay intentos reportados de explotar la CVE-2026-115560, aunque los ataques contra los anteriores fallos de PHP2Shell continúan aumentando.

Contexto

El progreso de subida de sesiones es una función integrada de PHP que permite a las aplicaciones web rastrear el estado de las subidas de archivos en tiempo real. Está habilitada por defecto en muchas configuraciones estándar. Aunque es útil para la experiencia del usuario, introduce complejidad en cómo se manejan los datos de sesión. La serialización es el proceso de convertir estructuras de datos en un formato que puede ser almacenado o transmitido. PHP admite diferentes manejadores de serialización, como php, php_binary y php_serialize. Cambiar entre estos manejadores dinámicamente durante una solicitud puede llevar a inconsistencias en cómo se interpretan los datos de sesión, creando potencialmente brechas de seguridad si no se gestiona cuidadosamente.

Las recientes vulnerabilidades de PHP2Shell destacaron los peligros del manejo inadecuado de entradas en las funciones principales de PHP. Esos fallos permitían a los atacantes inyectar código malicioso a través de solicitudes aparentemente benignas. La comunidad de seguridad respondió rápidamente, con proveedores de nube como Cloudflare reportando millones de intentos de explotación dentro de horas tras la divulgación. Los atacantes intentaron instalar variantes del botnet Mirai, aunque la explotación fiable resultó difícil. Comprender la distinción entre estos fallos activamente explotados y el recién divulgado problema de configuración de bajo riesgo es vital para priorizar los esfuerzos de respuesta.

Por qué importa

Para los equipos que gestionan software autoalojado, este aviso refuerza la importancia de la higiene de configuración sobre las simples actualizaciones de versión. Mientras que parchear a la última versión de PHP es crítico para los anteriores fallos de RCE, no resuelve este nuevo problema. Los administradores deben revisar activamente sus ajustes de php.ini o configuraciones a nivel de aplicación. Si depende del progreso de subida de sesiones para funcionalidad legítima, necesita evaluar si su aplicación cambia dinámicamente los manejadores de serialización. Si no lo hace, aún puede optar por deshabilitar la función como medida de defensa en profundidad, dada la baja probabilidad de necesitarla en arquitecturas modernas.

El rápido aumento de ataques contra los anteriores fallos de PHP2Shell demuestra cuán rápidamente los bots automatizados escanean nuevas vulnerabilidades divulgadas. Aunque la CVE-2026-115560 se considera actualmente de bajo riesgo, el patrón de intentos inmediatos de explotación sugiere que cualquier debilidad divulgada públicamente será sondeada. Aplicando el cambio de configuración recomendado ahora, elimina un vector de ataque potencial antes de que esté disponible un parche formal. Este enfoque proactivo reduce la ventana de exposición y simplifica el mantenimiento futuro, ya que no tendrá que apresurar una actualización de emergencia cuando finalmente se libere la corrección rutinaria.

Qué puede hacer

• Deshabilitar el progreso de subida de sesiones: Añada session.upload_progress.enabled=0 a su archivo php.ini o configuración de aplicación inmediatamente.
• Verificar mitigaciones existentes: Si ya deshabilitó el progreso de subida de sesiones para mitigar la CVE-2026-109619, no se requiere acción adicional para este problema específico.
• Revisar la lógica de serialización: Revise el código de su aplicación para ver si usa ini_set() para cambiar session.serialize_handler antes de session_start().
• Monitorear actualizaciones: Vigile la próxima versión rutinaria de corrección de errores de PHP, que contendrá la corrección permanente para la CVE-2026-115560.
• Auditar registros: Continúe monitoreando los registros del servidor para actividad inusual relacionada con el manejo de sesiones o subidas de archivos, aunque no se reporten exploits actualmente.
• Actualizar versiones de PHP: Asegúrese de estar ejecutando PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 para permanecer protegido contra los críticos fallos de PHP2Shell.