NEWS / SEGURIDAD Y CONTINUIDAD · 23 OCT 2026
PHP publica un nuevo aviso de seguridad: qué revisar en tu empresa
El aviso oficial del 23 de octubre añade una precaución sobre las sesiones de PHP. Qué cambia respecto a los parches críticos del día 21 y qué conviene comprobar con el proveedor de alojamiento.
Qué ha comunicado PHP hoy
El equipo de PHP publicó este 23 de octubre de 2026 un aviso sobre una vía de ejecución remota de código asociada al seguimiento del progreso de subida de archivos. Recomienda desactivar temporalmente session.upload_progress.enabled hasta la próxima versión de corrección. Si esa medida ya se había aplicado siguiendo el aviso del día 21, pide mantenerla.
Una condición concreta, no una afirmación de que todas las webs estén comprometidas
El supuesto descrito requiere que la aplicación cambie el serializador de sesiones durante la ejecución, antes de iniciar la sesión, y mantenga habilitada esa función de seguimiento. PHP lo considera poco habitual y lo identifica como CVE-2026-115560. El anuncio de hoy distingue esta situación de las dos vulnerabilidades críticas divulgadas esta semana.
Los parches del 21 de octubre siguen siendo importantes
PHP publicó el día 21 las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir CVE-2026-109618 y CVE-2026-109619. El aviso oficial indica que las instalaciones que atienden peticiones web deben actualizarse. Los proveedores de distribuciones pueden incorporar las correcciones a sus propios paquetes: conviene confirmar el parche instalado, además del número visible de versión.
Actualizar WordPress no equivale a actualizar PHP
PHP es parte del entorno del servidor en el que funcionan muchas webs y aplicaciones. Por eso, pulsar «Actualizar» en un gestor de contenidos no demuestra que el alojamiento tenga corregida esta incidencia. Como lectura operativa de ASCENDRA, el punto de partida es identificar quién administra ese entorno y pedirle confirmación concreta de la versión o del paquete corregido.
Qué pedir al responsable técnico de tu negocio
Conviene solicitar un inventario de los sitios y aplicaciones que usan PHP, comprobar el estado de los parches y revisar si la configuración descrita en el nuevo aviso existe en alguno de ellos. Antes de desplegar cambios, el responsable debe contemplar respaldo, recuperación y pruebas de los procesos de negocio: formularios, acceso de usuarios, pagos e integraciones, cuando correspondan.
La seguridad también forma parte de la continuidad
Una web que abre con normalidad no acredita por sí sola que su servidor esté actualizado. Mantener un registro de versiones, responsables y verificaciones facilita responder a avisos como este sin improvisar. Esta noticia informa sobre comunicaciones públicas del proyecto PHP; no afirma que las webs de ASCENDRA o de sus clientes estén afectadas ni sustituye una revisión técnica de cada instalación.
Fuentes primarias: PHP, aviso informativo del 23 de octubre y actualizaciones del 21 de octubre de 2026; aviso técnico oficial GHSA-6wmf-4rv5-p3rp. La explicación operativa es una interpretación editorial de ASCENDRA News.
POR QUÉ IMPORTA
Actualizar el gestor de contenidos no acredita el parche del servidor.
La revisión debe incluir el entorno PHP, su configuración y las pruebas de los procesos que dependen de la web.
TAMBIÉN TE PUEDE INTERESAR
La continuidad cuando falla un proveedor de nube ↗
Las noticias cambian. Tus procesos también pueden mejorar.
ASCENDRA diseña herramientas para conectar clientes, procesos, automatización e infraestructura empresarial. Conversemos sobre tu operación ↗
ASCENDRA NEWS · Una publicación editorial de ASCENDRA Volver a News ↗