El equipo de seguridad de PHP ha compartido una medida para una vulnerabilidad de ejecución remota de código (RCE) que todavía no tiene parche y afecta a sistemas con una combinación inusual de configuración y código de aplicación.
La vulnerabilidad, identificada como CVE-2026-115560, solo puede explotarse si una aplicación configura session.serialize_handler como php_binary o php_serialize, lo cambia a php durante la ejecución mediante ini_set() antes de llamar a session_start() y mantiene activado el seguimiento del progreso de carga de sesiones. El equipo señaló que las aplicaciones que no cambian el controlador de serialización durante la ejecución pueden mantener activa esta función. Tiene previsto publicar un aviso completo con la próxima versión.
Hasta que haya un parche de seguridad, los desarrolladores de PHP recomiendan establecer session.upload_progress.enabled=0. El equipo indicó que los sistemas donde la medida ya se aplicó el miércoles no requieren ninguna otra acción.
La recomendación llega después de los parches de emergencia para otras dos vulnerabilidades RCE críticas, CVE-2026-109618 y CVE-2026-109619, conocidas en conjunto como PHP2Shell. Según la fuente, empresas de ciberseguridad detectaron intentos fallidos de explotación antes de que se hicieran públicas. Amazon Threat Intelligence dijo que los atacantes empezaron a dirigirse a las vulnerabilidades PHP2Shell cuatro días antes de que se publicaran los parches. El equipo TRACE de Dataminr informó de escaneos y exploits que no funcionaban, sin compromisos conocidos. La fuente señala que no está claro si alguno de los intentos reportados tuvo éxito.
Comentarios
0Aún no hay comentarios. Escribe el primero.