El equipo de seguridad de PHP advirtió el 23 de octubre de 2026 de una nueva vía de ejecución remota de código, identificada como CVE-2026-115560. Todavía carece de parche y solo puede explotarse con una combinación inusual de configuración y código de la aplicación.
El proyecto recomienda desactivar temporalmente el seguimiento del progreso de las cargas mediante session.upload_progress.enabled=0. Quienes ya aplicaron ese ajuste tras la alerta del 21 de octubre deben mantenerlo hasta la próxima actualización ordinaria.
El riesgo depende de ciertos cambios del formato de las sesiones durante la ejecución, con el seguimiento de cargas todavía activo. PHP considera poco probable esa combinación y publicará el aviso completo con su próxima versión ordinaria.
Los parches de PHP2Shell siguen siendo necesarios
El aviso llega dos días después de las actualizaciones contra PHP2Shell. La PHP Foundation confirmó que las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 corrigen CVE-2026-109618 y CVE-2026-109619, dos fallos que pueden permitir ejecutar código en servidores sin autenticación.
El cambio de configuración aborda una vía concreta. Para los dos fallos críticos del 21 de octubre, el equipo de PHP mantiene que únicamente actualizar ofrece una solución completa.
Una versión anterior puede incluir el parche del proveedor
Las distribuciones de Linux pueden incorporar la corrección a sus propios paquetes conservando la versión base de PHP. Canonical ofrece un ejemplo: su aviso identifica 8.3.6-0ubuntu0.24.04.13 como paquete corregido para Ubuntu 24.04.
Ese paquete conserva la numeración 8.3.6, aunque el lanzamiento del proyecto PHP que corrige esa rama es 8.3.36. La diferencia permite entender por qué la versión base, aislada del identificador completo del paquete y del aviso del proveedor, resulta insuficiente para determinar si llegó la corrección.
Canonical señala también que, después de instalar los paquetes actualizados, puede ser necesario reiniciar la aplicación que utiliza PHP para que ejecute los componentes corregidos.
