PHP publica un aviso por CVE-2026-115560 y una mitigación temporal
PHP ha publicado el 23 de octubre un aviso informativo sobre CVE-2026-115560, un fallo en la gestión de progresos de subida de archivos que puede abrir otra vía hacia ejecución remota de código. Según la nota, solo afecta cuando una aplicación cambia en tiempo de ejecución el gestor de serialización de sesión y además mantiene activa la función de upload progress.
La recomendación temporal es desactivar session.upload_progress.enabled=0 en php.ini o en el pool de FPM hasta la próxima actualización de mantenimiento. La noticia también recoge que la explotación del problema original sigue en marcha y que hay millones de servidores expuestos, muchos de ellos en versiones sin soporte y sin parche disponible.
Qué significa para tu web
Si administras una web con PHP, revisa si cambias el gestor de sesiones en tiempo de ejecución y, en caso de duda, desactiva temporalmente la subida con progreso hasta actualizar. Si ya aplicaste la mitigación del martes, no necesitas hacer nada más por este aviso concreto.
Fuente: techaeris.com