PHP avisa de otro fallo de ejecución remota sin parche, pero con mitigación

Qué ha pasado

El proyecto PHP ha avisado de una nueva forma en que un atacante podría ejecutar código en un servidor web. El aviso llega solo dos días después de que el propio proyecto publicara parches de emergencia para los fallos críticos conocidos como PHP2Shell.

El nuevo problema tiene el identificador CVE-2026-115560 y, según PHP, solo afecta a aplicaciones web configuradas de una manera poco habitual. El proyecto lo considera un riesgo improbable y por eso no va a sacar una corrección de emergencia. En su lugar, recomienda desactivar una función concreta como medida de mitigación.

El material que hemos podido consultar no recoge el nombre completo de esa función, así que no vamos a darlo por nuestra cuenta. Lo encontrarás en el aviso oficial de PHP. BleepingComputer, por su parte, confirma que afecta a sistemas con configuraciones no predeterminadas y que de momento no hay parche. Puedes leer su crónica y la de The Hacker News.

Por qué le importa a tu empresa

La ejecución remota de código es de lo más serio que le puede pasar a una web: significa que alguien ajeno podría hacer que tu servidor ejecute lo que él quiera. Que PHP considere el riesgo poco probable es una buena noticia, pero conviene entender bien qué significa «configuración inusual».

En una pyme, la configuración del servidor rara vez la ha decidido la empresa. Suele venir del proveedor de hosting, de quien desarrolló la web hace años o de un ajuste que alguien hizo para que algo funcionara y que nadie recuerda. Por eso es difícil saber, sin preguntar, si tu web entra en ese grupo de casos poco habituales.

Hay además un riesgo menos evidente. Con dos avisos tan seguidos, es fácil que la atención se vaya al segundo y se quede sin hacer lo primero. Los parches de emergencia de PHP2Shell siguen siendo la prioridad si aún no están aplicados.

Mi opinión

Mi lectura es prudente. No veo motivo para el pánico: PHP ha sido transparente, ha explicado que el escenario es raro y ha ofrecido una medida clara. Eso es lo que se espera de un proyecto serio.

Pero tampoco me quedaría de brazos cruzados. «Poco probable» no es «imposible», y una mitigación solo sirve si alguien la aplica. Lo que más veo en las pymes no es el ataque sofisticado, sino la actualización que se queda pendiente porque nadie sabe de quién es la responsabilidad. Este es un buen momento para dejarlo claro con tu proveedor. Y si no sabéis cómo comprobarlo, en XEVIA lo revisamos como parte de la revisión de seguridad web.

Qué hacer hoy

• Confirma los parches de PHP2Shell: pregunta a tu hosting o a tu desarrollador si ya están aplicados las actualizaciones de emergencia y pide que te lo digan por escrito.
• Lee el aviso oficial de CVE-2026-115560 y comprueba si la función que PHP recomienda desactivar está activa en tu servidor.
• Averigua si tu web usa una configuración de PHP personalizada o no estándar, y quién la hizo.
• Si desactiváis la función, prueba la web después: formularios, área de clientes, tienda y pagos, por si algo dependía de ella.
• Apunta el identificador del CVE y vuelve a mirar las novedades de PHP en unos días, por si cambia la valoración del riesgo.