El proyecto PHP ha publicado PHP 8.2.35 como parte de una entrega de seguridad destinada a corregir dos vulnerabilidades críticas que permiten ejecución remota de código (RCE) sin autenticación. La actualización se publicó el 21 de octubre de 2026 y está dirigida a todas las instalaciones que sirven peticiones web con PHP 8.2.
Qué cambia: corrección de dos fallos RCE críticos
La versión corrige dos vulnerabilidades que, según el equipo de seguridad de PHP, pueden permitir a un atacante no autenticado ejecutar código en servidores afectados. No existen mitigaciones completas: la única solución segura es aplicar la actualización que contiene los parches.
A quién afecta y vectores de riesgo
Están en riesgo todas las instalaciones de PHP que atienden solicitudes HTTP, incluidos PHP-FPM, Apache con mod_php, php-cgi y servidores integrados o alternativos que ejecutan PHP como FrankenPHP o LiteSpeed. El equipo considera que el riesgo es más alto para mod_php, donde se ha demostrado un vector explotable que puede activarse mediante una petición no autenticada antes de que se ejecute código de la aplicación.
Recomendaciones prácticas para administradores
- Actualizar inmediatamente: instale PHP 8.2.35 desde las fuentes o los binarios oficiales. Actualizar es la única medida que elimina completamente la vulnerabilidad en esta rama.
- Planear migración: PHP 8.2 llega al fin de vida el 31 de diciembre de 2026 y no recibirá parches de seguridad tras esa fecha. Organice la migración a una versión soportada (por ejemplo, 8.3 o superior) antes de esa fecha para mantener la seguridad a largo plazo.
- Mitigaciones parciales (solo si no puede actualizar de inmediato): el equipo PHP indica que algunas medidas reducen la exposición a rutas específicas de ataque, pero no hacen la instalación totalmente segura. Entre ellas figura deshabilitar ciertas opciones que facilitan vectores específicos; consulte los avisos de seguridad oficiales para detalles técnicos.
Sobre un vector adicional y configuración de sesión
El equipo de PHP también describe un vector adicional que solo puede ocurrir con una combinación poco común de configuraciones y código de aplicación: si una app cambia el manejador de serialización de sesiones en tiempo de ejecución (por ejemplo, usando ini_set()) pasando de php_binary o php_serialize a php antes de llamar a session_start(), y además tiene habilitado el progreso de subida de sesión (session.upload_progress), podría abrirse una vía de ataque. Para mitigar esa ruta concreta temporalmente se sugiere desactivar session.upload_progress (poner session.upload_progress.enabled=0) hasta la próxima versión de corrección si no se puede actualizar ya. Si su aplicación nunca cambia el serialize_handler en tiempo de ejecución, no está expuesta por este vector.
Descargas y comprobaciones
Los instaladores, binarios para Windows y los paquetes fuente de PHP 8.2.35 están disponibles en la página oficial de descargas de PHP. El ChangeLog de la versión recoge la lista de cambios; las guías de seguridad publicadas contienen los detalles técnicos y las vías de explotación conocidas.
Qué debe hacer ahora
- Priorice la actualización de servidores de producción que ejecuten PHP 8.2.35 y valide el correcto funcionamiento de aplicaciones tras el parche.
- Si no puede actualizar de inmediato, aplique las mitigaciones indicadas en los avisos oficiales (por ejemplo, deshabilitar session.upload_progress si aplica) y monitorice el tráfico y logs en busca de actividad sospechosa.
- Planifique la migración fuera de la rama 8.2 antes del fin de soporte (31 de diciembre de 2026) para seguir recibiendo correcciones de seguridad.
Lee también:
- Nextcloud gana el premio Platinum en los IT-Awards 2026 por gestión de contenido en la nube
- Microsoft solicita permiso para un campus de centros de datos en Georgia con tres edificios
Fuente: PHP.net news & announcements
