CVE-2026-115560: nueva vulnerabilidad en PHP, aún sin solución
Publicado 23.10.2026 · Nivel de gravedad : Media · Actualizado 27.10.2026
Qué ocurre: el 23 de octubre de 2026, PHP avisó de una nueva vulnerabilidad, CVE-2026-115560, que puede permitir la ejecución remota de código en el servidor. Se discovered dos días después de las correcciones para PHP2Shell, y las versiones actualizadas del 21 de octubre no la detienen.
Qué gravedad tiene: según PHP, un ataque requiere una combinación poco habitual de configuración y código: el sitio web debe cambiar el formato de los datos de sesión mientras está en funcionamiento, y la función de progreso de subida debe estar activada. Hasta ahora no se ha informado de ningún ataque (CERT-FR, 27 de octubre de 2026). PHP corregirá el error en la próxima versión oficial.
A quién afecta: sitios web que funcionan con PHP —entre otros, WordPress, Joomla, Drupal y muchas tiendas en línea— donde la función de progreso de subida (session.upload_progress) está activada. Esta viene activada de forma predeterminada.
Qué debes hacer: PHP recomienda establecer session.upload_progress.enabled=0 hasta que se publique la corrección, en php.ini o en la configuración del servidor, y reiniciar los procesos de PHP. Este ajuste solo se utiliza para mostrar el progreso durante la subida de archivos; la mayoría de los sitios web no notará ninguna diferencia. Instala la próxima versión de PHP tan pronto como esté disponible.
¿No estás seguro de si tu sitio web ha sido afectado? Escríbenos y te diremos qué conviene hacer.