PHP advierte de dos vulnerabilidades críticas con una puntuación de 9,2 sobre 10
Upcoming Critical PHP Security Release
El equipo de seguridad de PHP anuncia un lanzamiento de seguridad urgente para el miércoles 21 de octubre de 2026 a las 14:00 UTC, que corrige dos vulnerabilidades críticas, ambas con una puntuación CVSS v4.0 de 9,2. Todos los usuarios de PHP deberían prepararse para actualizar en cuanto la versión esté disponible. El equipo se reserva el derecho de adelantar el lanzamiento si los detalles se hacen públicos o si aparecen indicios de explotación activa.
Nos reservamos el derecho de lanzar antes si los detalles de cualquiera de las vulnerabilidades se hacen públicos, o si aparece evidencia de explotación activa en el mundo real.
- devttyeu
@dang si las especulaciones que circulan son ciertas, esto es apocalíptico y merece ser amplificado para que las personas adecuadas lo vean antes de que sea demasiado tarde.
CERT-EU incluso sugiere aislar cualquier sistema que pueda estar expuesto y que no se pueda parchear rápidamente.
Se especula que el subsistema afectado se ejecuta antes que cualquier código de aplicación y afecta a todas las instalaciones por defecto.
- Numerlor
Bueno, esto es prácticamente lo peor que puede pasar, así que supongo que internet tendrá un pequeño test y los foros antiguos se convertirán en una botnet
- unethical_ban
Mitigación rumorada de otros hilos de HN:
>La mitigación para las versiones afectadas es establecer `session.upload_progress.enabled = Off` en php.ini
Es una característica que mi wiki no usa, así que aunque estoy parcheando lo antes posible, no me hizo daño cambiar ese bit. De hecho, probablemente podría simplemente apagar mi servidor por el día...
edit: simplemente apagué mi dokuwiki por el día. De todos modos, nadie lo usa excepto yo.
edit2: https://old.reddit.com/r/PHP/comments/1xb2utu/upcoming_criti...
Alguien que dice ser un releng de PHP afirma que las configuraciones INI no te salvarán.