Nueva alerta en PHP: Vulnerabilidad sin parchear tras parches de emergencia de PHP2Shell

La seguridad en aplicaciones web vuelve a estar bajo el foco. Apenas dos días después de que el equipo de desarrollo de PHP publicara parches de emergencia para mitigar las graves fallas conocidas como PHP2Shell, se ha emitido un nuevo aviso sobre otra vulnerabilidad de ejecución remota de código (RCE) sin solucionar: la CVE-2026-115560.

A continuación, analizamos los detalles técnicos de esta nueva amenaza, el nivel de riesgo real para los servidores y las medidas inmediatas que debes aplicar.

¿Qué es la vulnerabilidad CVE-2026-115560?

Identificada en un aviso informativo, la falla CVE-2026-115560 permite potencialmente a un atacante ejecutar código malicioso en un servidor web. A diferencia de las amenazas críticas recientes, este fallo no afecta a todas las instalaciones por igual, sino a aplicaciones con configuraciones de sesión muy específicas y poco habituales.

PHP ha catalogado esta vulnerabilidad como de bajo riesgo práctico debido a los requisitos previos necesarios para su explotación.

Requisitos para que un servidor esté expuesto

Para que la vulnerabilidad sea explotable, la aplicación web debe cumplir con todos estos escenarios simultáneamente:

1. Configuración del manejador de sesión: La opción session.serialize_handler debe estar configurada inicialmente en php_binary o php_serialize.
   
   
2. Cambio dinámico en tiempo de ejecución: La aplicación debe cambiar ese valor a php durante la ejecución utilizando la función ini_set().
   
   
3. Orden de ejecución: Dicho cambio debe realizarse estrictamente antes de invocar a session_start().
   
   
4. Progreso de carga activo: La función de monitoreo de progreso de carga (session.upload_progress.enabled) debe estar habilitada.

Si el servidor nunca modifica el controlador de serialización de forma dinámica mientras corre el script, no se encuentra expuesto por esta vía.

Diferencias clave: PHP2Shell vs. CVE-2026-115560

Es fundamental distinguir entre los problemas corregidos recientemente y esta nueva advertencia:

Característica	Parches de Emergencia (21 de oct)	Nueva Advertencia (23 de oct)
Identificadores	CVE-2026-109618 y CVE-2026-109619	CVE-2026-115560
Estado del parche	Solucionado en versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35	Sin parche inmediato (se resolverá en el próximo ciclo)
Severidad y Riesgo	Crítica (Explotación activa masiva)	Moderada / Baja (Configuración poco común)
Exploits en el entorno	Intentos masivos registrados por proveedores de seguridad	Sin reportes de explotación activa a la fecha

Mitigación inmediata: Cómo proteger tu servidor

Dado que PHP no ha lanzado un parche de emergencia para esta falla concreta y gestionará la solución dentro de su ciclo de actualizaciones habitual, se recomienda aplicar una mitigación temporal directa.

Desactiva el seguimiento del progreso de carga de archivos en tu archivo de configuración php.ini o en las configuraciones de tu servidor:

session.upload_progress.enabled = 0

Nota: Esta acción es idéntica a la medida recomendada para la falla previa CVE-2026-109619. Si ya habías aplicado esta regla de mitigación días atrás, tu servidor ya se encuentra protegido contra este nuevo vector.