PHP: otra vulnerabilidad sin parche (CVE-2026-115560) y cómo un ajuste la cierra
El 23 de octubre el equipo de PHP publicó un aviso informativo sobre un error en el progreso de carga de sesión que puede llevar a la ejecución de código en el servidor. La corrección llegará en la próxima versión regular, no hay parche de emergencia. La explotación requiere una configuración poco habitual y, al 23 de octubre, no se había reportado ninguna.
Revisado en Shield: sí
Quién está afectado
Solo los sitios y aplicaciones PHP donde se cumpla todo lo siguiente: session.serialize_handler está configurado como php_binary o php_serialize, el código lo cambia a php con ini_set() antes de session_start(), y session.upload_progress está habilitado. Una aplicación que no cambia el manejador de sesión en tiempo de ejecución no entra en este escenario. El equipo de PHP aún no ha revelado las versiones afectadas.
Cómo comprobar
Busca en php.ini, en el pool de PHP-FPM y en el código del sitio ini_set('session.serialize_handler', ...), y comprueba session.upload_progress.enabled con php -i o en el panel de tu hosting.
Cómo corregirlo
Pon session.upload_progress.enabled = 0 en php.ini, en el pool de PHP-FPM o en la configuración del servidor (no con ini_set) y reinicia PHP. Este mismo ajuste ya se recomienda contra PHP2Shell: si lo aplicaste, no necesitas hacer nada más. Actualiza PHP cuando llegue la versión regular con la corrección.
Qué comprueba Shield gratis
La configuración de sesiones no se ve desde fuera. Si tu sitio funciona con PHP (se nota por las cabeceras, la cookie PHPSESSID o el CMS), Shield te recordará este aviso y la medida session.upload_progress.enabled = 0, y mostrará la versión de PHP en el informe cuando sea visible. Solo puedes confirmar que la medida está activa en tu propio servidor. Gratis.
Conviene saber
El equipo de PHP aún no ha revelado los detalles (causa raíz, versiones afectadas, puntuación de gravedad); los prometen junto con la corrección. Revisamos nuestros propios servidores: no usan la configuración de sesión requerida y session.upload_progress está desactivado.
