Dos días después del patch de emergencia que sacó sites del aire en el mundo entero, el PHP publicó hoy un aviso informacional para una tercera falla en el mismo subsistema de sesión. La CVE-2026-115560 tiene descripción oficial, mitigación conocida y ninguna corrección por ahora.
El aviso es calibrado y corto
La mitigación es la misma línea del día 21: session.upload_progress.enabled=0, que según el proyecto protege completamente de este vector, considerado improbable en la práctica. Quien aplicó la línea cuando el advisory GHSA-6wmf-4rv5-p3rp salió ya está cubierto, y el texto dice eso literalmente: ninguna acción adicional es necesaria.
El detalle técnico que explica la calma
El vector exige una combinación inusual de configuración y código: la aplicación necesita configurar el session.serialize_handler como php_binary o php_serialize y después trocarlo a php en tiempo de ejecución, con ini_set, antes de abrir la sesión, con el upload progress todavía activado. Aplicación que nunca troca el handler en runtime puede mantener la feature habilitada, dice el aviso oficial.
El contexto que impide dormir encima de lo improbable
La exploración de la dupla original empezó cuatro días antes de la divulgación, según Amazon, y la SecurityWeek reportó operadores del Mirai entrando en los ataques con bypass de ASLR, con tentativas en la casa de los millones. En ese clima, el criterio deja de ser la probabilidad: mitigación de una línea y costo cero se justifican solas.
La semana de las tres temperaturas de disclosure
La semana dejó tres casos en el mismo tema, con tres temperaturas de disclosure. El PHP2Shell se filtró antes del plazo y se volvió emergencia global; el kernel divulgó dos RCE sin patch por accidente de proceso; y el PHP de hoy muestra la versión madura del ejercicio: condición improbable documentada con precisión, mitigación de una línea y corrección en el ciclo regular.
Para quien siguió la serie: el inventario del martes ya pagó el boleto de hoy. En Tech86, es exactamente así que operamos: lo que fue mitigado una vez queda documentado, y cada aviso nuevo es conferido contra lo que ya está aplicado.
Conclusión
La conferencia lleva dos minutos y el próximo aviso puede no ser improbable. Lo que separa la respuesta madura de la carrera es el inventario: mitigación documentada una vez sirve para todos los avisos siguientes del mismo subsistema, y es eso que transforma semana de disclosure en rutina de operación.