El equipo de seguridad de PHP ha emitido un anuncio formal sobre un próximo lanzamiento de seguridad crítico. La actualización está programada para ser desplegada el miércoles 21 de octubre de 2026 a las 14:00 UTC. Este lanzamiento aborda específicamente dos vulnerabilidades, a las cuales se les ha asignado una puntuación CVSS v4.0 de 9.2, categorizándolas como 'Críticas'. El equipo ha aconsejado a todos los usuarios de PHP que se preparen para la actualización de inmediato, señalando que el lanzamiento podría adelantarse si surge evidencia de explotación activa en el mundo real o si se hacen públicos más detalles sobre las vulnerabilidades.
El equipo de seguridad de PHP ha emitido un anuncio formal sobre un próximo lanzamiento de seguridad crítico.
Las discusiones técnicas en torno al anuncio resaltan la gravedad de la situación, con algunos observadores sugiriendo que las vulnerabilidades podrían estar entre las más significativas en la historia del lenguaje. Los informes de la comunidad indican que ya se han distribuido exploits de prueba de concepto, con algunos usuarios afirmando haberlos utilizado con éxito para extraer bases de datos de sitios personales. La rápida aparición de estos exploits, incluso antes del parche oficial, ha llevado a algunos administradores a tomar la medida drástica de poner sus sitios web fuera de línea por completo hasta que se pueda aplicar la actualización de seguridad.
Para aquellos que no puedan poner sus servicios fuera de línea, la comunidad ha discutido varias estrategias de mitigación temporal. Un método sugerido implica modificar la configuración de `php.ini` para establecer `session.upload_progress.enabled` en `Off` y potencialmente establecer `file_uploads` en `Off`. Otro enfoque técnico implica bloquear las solicitudes multipart a nivel del servidor web o utilizar un Web Application Firewall (WAF) para rechazar las solicitudes `POST`, `PUT`, `PATCH` y `DELETE`. Si bien estas medidas pueden interrumpir la funcionalidad estándar de los formularios, como las páginas de inicio de sesión, se proponen como una forma de mantener la presencia de un sitio mientras se espera el parche oficial. Sin embargo, algunos usuarios han expresado incertidumbre sobre la eficacia de estas mitigaciones, señalando que ciertos procesos de serialización podrían seguir siendo vulnerables incluso con estos ajustes aplicados.