El proyecto PHP ha emitido una alerta sobre una nueva vía para que un atacante ejecute código en un servidor web, apenas dos días después de publicar las correcciones de emergencia para las fallas críticas bautizadas como PHP2Shell. El nuevo problema, registrado como CVE-2026-115560, únicamente afecta a aplicaciones web con una configuración poco común, y el equipo de PHP lo considera un riesgo improbable.
Por esa razón, el proyecto no tiene previsto emitir un parche de emergencia. En su lugar, aconseja desactivar la funcionalidad de progreso de subida de sesión (session upload progress) hasta que la solución llegue en la próxima versión rutinaria. La advertencia se publicó el 23 de octubre mediante un breve aviso informativo.
Este aviso llega después de la publicación de emergencia del 21 de octubre, que corrigió dos fallas críticas de PHP2Shell (CVE-2026-109618 y CVE-2026-109619) que permitían a un atacante sin cuenta ejecutar código en un servidor. Esas fallas se corrigieron en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El nuevo problema es independiente y no queda resuelto por esas versiones.
Condiciones muy específicas para verse afectado
Solo una configuración muy concreta está en riesgo. PHP explica que el problema puede darse cuando una aplicación web cumple simultáneamente todas estas condiciones: fija la opción session.serialize_handler en php_binary o php_serialize en su configuración, después cambia esa opción a php en tiempo de ejecución mediante una llamada a ini_set(), y realiza ese cambio antes de llamar a session_start().
Además, el progreso de subida de sesión debe seguir activado. Una aplicación que nunca modifica el manejador de serialización en tiempo de ejecución puede mantener la funcionalidad activa sin quedar expuesta por esta vía. PHP señala que esta configuración es poco probable en la práctica.
La medida de mitigación consiste en una sola línea: PHP recomienda establecer session.upload_progress.enabled=0 hasta la próxima versión rutinaria de corrección de errores. Se trata del mismo ajuste que ya figuraba como mitigación en el aviso del 21 de octubre para CVE-2026-109619. Quien lo aplicó entonces y lo mantuvo activo no necesita hacer nada más para el nuevo problema.
El progreso de subida de sesión está activado por defecto y permite a una aplicación seguir el avance de la carga de un archivo. Dado que la configuración afectada es poco habitual, PHP tratará la corrección dentro de su ciclo regular de versiones en lugar de como una emergencia, y publicará un aviso completo para CVE-2026-115560 junto con la próxima versión.
PHP no ha especificado qué versiones están afectadas, qué versiones incluirán la corrección ni una puntuación de gravedad. Tampoco ha indicado si el nuevo problema comparte causa raíz con CVE-2026-109619. Hasta ahora no se ha reportado explotación de CVE-2026-115560; los ataques notificados desde el 21 de octubre se dirigen a las dos fallas anteriores de PHP2Shell.
La explotación de PHP2Shell se intensifica
Por otro lado, la explotación de las dos fallas anteriores de PHP2Shell ha aumentado. Amazon informó de que sus honeypots registraron un intento de explotación contra CVE-2026-109618 y CVE-2026-109619 el 17 de octubre, cuatro días antes de que se divulgaran las fallas. Cloudflare señaló que los intentos pasaron de decenas de miles en los 45 minutos posteriores a la divulgación del 21 de octubre a millones a primeras horas del 22 de octubre.
Según Sophos y Arctic Wolf, los atacantes han intentado aprovechar las fallas para instalar una variante del botnet Mirai. Esos intentos han fracasado hasta ahora: Previdian, Wordfence y otros informan de escaneos y sondeos, pero no de ejecución de código confirmada, y los investigadores señalan que construir un exploit fiable está resultando más difícil de lo esperado. Esa actividad se dirige a las dos fallas corregidas el 21 de octubre, no a CVE-2026-115560, que no ha sido reportada como atacada.
Deja una respuesta