La nueva falla afecta configuraciones poco comunes, pero el proyecto recomienda deshabilitar session upload progress hasta el próximo ciclo de correcciones
El 23 de octubre, PHP publicó un aviso sobre CVE-2026-115560, una vulnerabilidad de ejecución de código que afecta configuraciones específicas del lenguaje. El anuncio llegó apenas dos días después de que el proyecto lanzara parches de emergencia para las fallas críticas PHP2Shell (CVE-2026-109618 y CVE-2026-109619), que alcanzaron un puntaje CVSS de 9.2 y desencadenaron millones de intentos de explotación en menos de 24 horas. A diferencia de esas vulnerabilidades, CVE-2026-115560 requiere una combinación inusual de ajustes de configuración y código de aplicación, lo que llevó al equipo de PHP a tratarla dentro del ciclo de lanzamiento regular en lugar de emitir un parche de emergencia. Sin embargo, el proyecto recomendó una mitigación preventiva inmediata: deshabilitar session upload progress hasta que se publique una corrección oficial.
Qué configuración hace vulnerable a una instalación de PHP
CVE-2026-115560 solo afecta aplicaciones que cumplen tres condiciones simultáneas. Primero, el parámetro session.serialize_handler debe estar configurado como php_binary o php_serialize en el archivo de configuración. Segundo, la aplicación debe cambiar ese valor a php en tiempo de ejecución usando ini_set(), y hacerlo antes de llamar a session_start(). Tercero, session upload progress debe permanecer habilitado, que es el estado por defecto en PHP.
Según el aviso oficial del proyecto, las aplicaciones que nunca modifican el manejador de serialización durante la ejecución no están expuestas a través de este vector de ataque, incluso si session upload progress está activo. La combinación de estos tres factores es lo que el equipo de PHP describió como improbable en la práctica, razón por la cual decidió manejar la corrección en el ciclo de lanzamiento estándar en lugar de emitir actualizaciones de emergencia como las del 21 de octubre.
Por qué la mitigación recomendada ya estaba en vigor para quienes parchearon PHP2Shell
La medida temporal que PHP recomienda para CVE-2026-115560 es idéntica a la que ya se sugirió en el aviso del 21 de octubre para CVE-2026-109619: configurar session.upload_progress.enabled=0. Los administradores que aplicaron ese ajuste después de parchear las fallas PHP2Shell y lo mantuvieron activo no necesitan tomar ninguna acción adicional para protegerse de la nueva vulnerabilidad.
Session upload progress es una funcionalidad habilitada por defecto que permite a las aplicaciones rastrear el progreso de las cargas de archivos. Deshabilitarla reduce la superficie de exposición a este vector de ataque específico sin afectar la mayoría de las operaciones de sesión. PHP no ha publicado aún un cronograma preciso para la corrección definitiva, pero confirmó que llegará con el próximo lanzamiento de mantenimiento regular y que se publicará un aviso completo en ese momento.
Cómo PHP2Shell desencadenó una ola de explotación masiva en menos de dos horas
El contexto inmediato de CVE-2026-115560 es la respuesta a las vulnerabilidades PHP2Shell, que afectaron todas las versiones de PHP que manejan solicitudes web. El código vulnerable en CVE-2026-109619 data de PHP 5.4, lanzado en 2012, y reside en el motor del lenguaje mismo en lugar de en aplicaciones específicas. Esto permitió ejecución remota de código no autenticada mediante solicitudes HTTP manipuladas.
Investigadores de Cloudflare documentaron decenas de miles de intentos de explotación dentro de los primeros 45 minutos posteriores a la divulgación pública del 21 de octubre. En dos horas, la cifra escaló a cientos de miles de intentos, y para el 22 de octubre ya se contabilizaban millones. Esta velocidad de adopción por parte de atacantes refleja tanto la gravedad de las fallas como la facilidad de explotación una vez que los detalles técnicos se hicieron públicos. PHP lanzó parches de emergencia para las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, pero esas actualizaciones no corrigen CVE-2026-115560, que es una vulnerabilidad separada.
Qué significa para infraestructuras en América Latina que dependen de PHP heredado
PHP sigue siendo el lenguaje de backend dominante en gran parte de la infraestructura web de América Latina, especialmente en sectores como comercio electrónico, educación y gobierno, donde aplicaciones heredadas construidas sobre versiones anteriores de PHP 8 todavía están en producción. La combinación de código antiguo (CVE-2026-109619 afecta lógica de 2012) y ciclos de actualización lentos en organizaciones con recursos limitados crea una ventana de exposición prolongada.
En países como Brasil, México y Argentina, donde la adopción de PHP en pequeñas y medianas empresas es alta, la recomendación de deshabilitar session upload progress puede chocar con aplicaciones que dependen de esa funcionalidad para interfaces de usuario de carga de archivos. Aunque CVE-2026-115560 afecta configuraciones poco comunes, la experiencia con PHP2Shell muestra que la explotación masiva puede comenzar en cuestión de minutos una vez que los detalles técnicos circulan. La falta de reportes de ataques dirigidos a CVE-2026-115560 hasta el momento no elimina el riesgo de que atacantes adapten sus herramientas una vez que se publique el aviso completo con el próximo lanzamiento.
Nuestro análisis
La secuencia de eventos entre el 21 y el 23 de octubre revela un patrón que ya se vio en otros proyectos de software de infraestructura crítica: la divulgación de una vulnerabilidad grave desencadena una revisión más profunda del código, que a su vez descubre fallas adicionales en áreas relacionadas. CVE-2026-115560 comparte con PHP2Shell el vector de ataque a través de manejo de sesiones, pero PHP no ha confirmado si ambas vulnerabilidades tienen una causa raíz común o si son fallas independientes en el mismo subsistema. La decisión de tratar CVE-2026-115560 en el ciclo regular en lugar de emitir un parche de emergencia es razonable dado que la configuración vulnerable es improbable, pero deja abierta la pregunta de cuántas instalaciones reales cumplen esas condiciones sin que los administradores lo sepan.
La ausencia de información sobre versiones afectadas, fecha de corrección y puntaje de severidad en el aviso del 23 de octubre contrasta con la rapidez con que se movió el proyecto para parchear PHP2Shell. Esto sugiere que el equipo de PHP todavía está evaluando el alcance real de CVE-2026-115560 y que el aviso preliminar funciona más como una alerta preventiva que como una respuesta a explotación activa. La mitigación recomendada (deshabilitar session upload progress) es efectiva pero puede tener impacto funcional en aplicaciones que dependen de esa característica, lo que obliga a los administradores a elegir entre disponibilidad y seguridad hasta que llegue el parche definitivo. ¿Cuántas otras configuraciones poco comunes en PHP están esperando una revisión similar antes de convertirse en el próximo CVE?