Dos días después de los parches de emergencia, PHP ha avisado de otra posible vía de ejecución remota de código. Esta vez, con calma: no es una emergencia. 🔎 Qué sabemos Es una vulnerabilidad distinta a PHP2Shell y no la corrigen las versiones publicadas el 21 de octubre. Solo afecta a una configuración muy poco habitual: aplicaciones que cambian session.serialize_handler durante la ejecución (de php_binary o php_serialize a php con ini_set()) antes de iniciar la sesión, con upload_progress activado. PHP lo considera un riesgo improbable y lo corregirá en la próxima versión ordinaria, no con un parche urgente. No se ha detectado explotación. Aún no se conocen versiones afectadas ni puntuación de gravedad. ✅ Qué hacer La mitigación es la misma que ya recomendamos el día 21: session.upload_progress.enabled = 0 Si la aplicaste entonces y la mantienes, no tienes que hacer nada más. 🛡 En nuestros servidores En todos los servidores que operamos, propios y de clientes, la mitigación sigue activa y bloqueada, así que ya estáis cubiertos. Actualizaremos en cuanto salga la versión con la corrección. Moraleja: si no usas la barra de progreso de subida, déjala apagada para siempre. 😉

Importante: fortinet.com/blog/ciso-colle…

🚨 Vulnerabilidades críticas en PHP: qué está pasando y qué hacer Hoy, 21 de octubre a las 16:00 (hora peninsular), PHP publica una actualización urgente que corrige dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619, CVSS 9,2). 🔎 Qué sabemos Son fallos de ejecución remota de código: permitirían tomar el control del servidor sin credenciales. La información se filtró ayer, así que se esperan ataques masivos en cuanto salgan los detalles. Aún no se conocen las versiones afectadas. Hay que dar por vulnerable cualquier web con PHP (WordPress, WooCommerce, Prestashop…). ⏳ Qué esperamos Solo recibirán parche las ramas con soporte (PHP 8.2 en adelante). Las versiones antiguas (7.x, 8.0, 8.1) no tendrán parche oficial. Si tu web va con una de ellas, es momento de migrar. ✅ Qué hemos hecho nosotros En todos los servidores que operamos, propios y de clientes, ya hemos aplicado una mitigación preventiva: desactivar el progreso de subida de ficheros de PHP, bloqueado para que ningún dominio pueda reactivarlo. El único efecto es que puede dejar de verse la barra de progreso al subir archivos. Es una medida no oficial, pero consideramos que compensa con creces. En cuanto salgan las versiones corregidas, actualizaremos. 🛠 Si administras tu propio servidor Crea php.d/99-no-upload-progress.ini con: session.upload_progress.enabled = Off Y en el pool de PHP-FPM, para que ningún dominio lo reactive: php_admin_flag[session.upload_progress.enabled] = off Reinicia PHP-FPM y actualiza PHP en cuanto esté disponible. Seguiremos informando...