El equipo de seguridad de PHP ha divulgado una nueva vulnerabilidad de ejecución remota de código (RCE), identificada como CVE-2026-115560. Según el aviso, el fallo afecta a la gestión del progreso de carga de sesiones y solo puede explotarse cuando coinciden una configuración inusual y determinadas decisiones en el código de la aplicación.
Para que el problema sea aprovechable, la aplicación debe configurar `session.serialize_handler` como `php_binary` o `php_serialize` y, antes de llamar a `session_start()`, cambiarlo en tiempo de ejecución a `php` mediante `ini_set()`. Además, la función de progreso de carga de sesiones debe continuar activada.
Por tanto, las aplicaciones que no cambian el controlador de serialización durante la ejecución no se encuentran expuestas a esta vulnerabilidad concreta, según el equipo de PHP. Como medida de mitigación, se recomienda establecer `session.upload_progress.enabled=0` hasta la próxima versión regular de corrección. Quienes ya aplicaron esta medida frente a CVE-2026-109619 pueden mantenerla sin realizar cambios adicionales.
A diferencia de las vulnerabilidades conocidas como «php2shell», este nuevo fallo no recibirá una actualización de emergencia. El equipo de PHP prevé corregirlo en la siguiente versión regular.
## El contexto de php2shell
CVE-2026-109619 forma parte de las vulnerabilidades críticas de ejecución remota de código conocidas como php2shell. Su divulgación generó preocupación por el alcance potencial: PHP se utiliza ampliamente en sitios web y aplicaciones, incluidos servicios de sectores como la banca, la educación, la salud y la administración pública.
La publicación de información sobre las vulnerabilidades antes de que estuviera disponible el parche coincidió con intentos de explotación. AWS observó actividad maliciosa días antes de la fecha prevista para la actualización. Tras difundirse correcciones y detalles técnicos, los intentos de ataque aumentaron rápidamente, de acuerdo con los informes citados por investigadores.
Pese a esa actividad y a la gravedad de los fallos, los incidentes confirmados parecen haber sido limitados hasta ahora. Yotam Perkal, director de investigación de seguridad de Pluto Security, señaló que explotar php2shell de forma fiable puede ser complicado, en parte por la protección ASLR, que modifica la ubicación de los datos y el código en la memoria y dificulta que un atacante ejecute instrucciones de manera predecible.
Sin embargo, ASLR no sustituye a la aplicación de parches. Perkal advirtió que las técnicas de explotación pueden mejorar y que muchos servidores PHP todavía podrían no estar actualizados. Su recomendación es instalar las correcciones disponibles y reiniciar los procesos de PHP para que los cambios surtan efecto.
La nueva vulnerabilidad CVE-2026-115560 parece tener un alcance más restringido debido a los requisitos de configuración, pero conviene revisar los ajustes de sesión y aplicar la mitigación indicada cuando corresponda. En paralelo, las organizaciones deben priorizar la actualización frente a php2shell: que la explotación observada hasta ahora parezca limitada no elimina el riesgo de mantener sistemas vulnerables.
from Latest from TechRadar https://ift.tt/dSN6nFK
via IFTTT IA
