Después de la actualización crítica del 21 de octubre, el proyecto PHP publicó dos avisos más:
1. Aviso sobre session upload progress (23 de octubre)
El equipo de PHP emitió un aviso informativo sobre CVE-2026-115560, relacionado con la función session.upload_progress. Lo describe como un vector poco probable de ejecución remota que solo aplica en configuraciones específicas, cuando el manejador de serialización de sesiones se cambia en tiempo de ejecución. Como medida preventiva, recomienda establecer session.upload_progress.enabled=0 hasta la próxima versión de corrección.
2. Nuevas compilaciones para Windows por Brotli (26 de octubre)
PHP publicó compilaciones actualizadas para Windows de las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para incorporar una corrección de la librería de compresión Brotli (CVE-2026-111497). La falla solo es alcanzable a través de la extensión cURL cuando la descompresión automática de respuestas HTTP está activada, algo que viene desactivado por defecto.
Recomendación
Si administra servidores PHP en Windows, descargue las nuevas compilaciones. En cualquier sistema, revise si sus aplicaciones cambian la configuración de sesiones en tiempo de ejecución.
Fuente: PHP.net – News Archive 2026