PHP ha advertido de una posible vía de ejecución remota de código, identificada como CVE-2026-115560, ligada al seguimiento de subidas de archivos mediante sesiones. El aviso, publicado el 23 de octubre, considera improbable su explotación en la práctica porque exige varias condiciones simultáneas. Como medida temporal, PHP recomienda desactivar ese seguimiento hasta la próxima versión ordinaria de corrección de errores.
Qué aplicaciones están expuestas
El riesgo depende tanto de la configuración como del código de la aplicación. Para que exista esta vía, deben coincidir estas condiciones:
- La aplicación configura inicialmente
session.serialize_handlercomophp_binaryophp_serialize. - Después lo cambia a
phpmedianteini_set(), durante la ejecución y antes de llamar asession_start(). - La opción
session.upload_progress.enabledpermanece activada.
El serializador determina cómo se representan los datos de sesión al guardarlos. Las aplicaciones que nunca lo cambian dinámicamente no están expuestas por esta vía y pueden mantener activado el seguimiento de subidas. El valor predeterminado del serializador es php.
El seguimiento de subidas sí está activado por defecto. Guarda información en la sesión para que otra petición pueda consultar el progreso de un archivo mientras se carga. Desactivarlo afecta a esa función de seguimiento.
Cómo aplicar la mitigación
La recomendación es establecer session.upload_progress.enabled=0. El aviso del 21 de octubre ya explicaba cómo hacerlo antes de procesar una petición: mediante php.ini, la configuración del servidor o la del grupo FPM, y reiniciando los procesos PHP. No debe confiarse en ini_set() ni en .user.ini de FPM para aplicar esta mitigación.
Quienes ya desactivaron la opción a raíz de aquel aviso y la mantienen desactivada no necesitan realizar otra acción para esta nueva vía. PHP prevé corregir CVE-2026-115560 dentro de su ciclo ordinario de lanzamientos y publicar entonces el aviso completo.
Esta vulnerabilidad es distinta de los dos fallos críticos que PHP corrigió el 21 de octubre, CVE-2026-109618 y CVE-2026-109619. Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 incorporan las correcciones de esos dos fallos anteriores: instalarlas sigue siendo necesario, pero no sustituye la recomendación temporal de desactivar el seguimiento de subidas ante el nuevo aviso.
