PHP en octubre de 2026

15 enlaces

• Aviso de seguridad de PHP: actualiza ya a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 — El anuncio oficial de PHP2Shell: dos vulnerabilidades con CVSS 9.2 que permiten ejecutar código sin autenticarse. Si sigues en 8.1 o anterior, no hay parche. #154
• Volker Dusch explica cómo se encontraron, corrigieron y filtraron los fallos — La entrevista más completa de la semana sobre lo que pasó dentro de la PHP Foundation, incluido el embargo roto. #154
• La PHP Foundation cuenta qué va a cambiar en seguridad — Lecciones del incidente y las medidas que vienen para que la próxima vez el proceso aguante mejor. #154
• Aviso complementario: desactiva session.upload_progress — Dos días después, PHP recomienda poner session.upload_progress.enabled a 0 hasta la siguiente versión de mantenimiento para cerrar otra vía, improbable pero posible, de ejecución remota. #154
• Millones de intentos de explotación para desplegar una variante de Mirai — De momento sin éxito, pero la ventana entre parche y ataque masivo se ha medido en horas, no en semanas. #154
• Alguien intentó explotar PHP2Shell cuatro días antes de que se publicara — Amazon detectó intentos contra sus honeypots el 17 de octubre: las vulnerabilidades circulaban antes del anuncio. #154
• Cloudflare desplegó reglas de WAF contra PHP2Shell antes del anuncio — Reglas activadas por defecto que usan señales de la petición y de la respuesta para cortar los intentos de explotación. #154
• Sury.org publica paquetes parcheados para todas las versiones de PHP, de la 5.6 a la 8.5 — Si usas Debian o Ubuntu con los repositorios de Ondřej Surý, hay paquetes corregidos también para las ramas sin soporte (8.1, 8.0, 7.4…). Conservan el número de versión, así que fíate del changelog y no de php -v. #154
• Nuevos paquetes de PHP para Windows por el fallo de Brotli (HTTP2Shell) — 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1 incluyen Brotli 1.2.1, que corrige CVE-2026-111497. En Windows el descompresor vulnerable se alcanza a través de cURL si activas la descompresión automática de respuestas. #154
• Ya parcheaste, pero ¿te habían entrado? Un script de triaje de solo lectura — Un script que revisa logs y rastros habituales de explotación de PHP2Shell sin tocar nada en el servidor. #154
• Tu web de WordPress.com, protegida sin que tengas que hacer nada — Los sitios de WordPress.com ya estaban cubiertos antes de que el parche fuera público. #154
• PHP 8.6.0 RC4 disponible para pruebas — La versión final sigue prevista para noviembre. Si mantienes alguna extensión, es el momento de probarla. #154
• No hay caché — Tomáš Votruba defiende que la caché es el precio de un lenguaje lento, y explica por qué ECS, Rector y PHPStan la necesitan y qué pasaría si no. #154
• The PHP Podcast, 22 de octubre: la semana de PHP2Shell por dentro — Daniel Scherzer cuenta cómo empujó los commits del parche a las 6:30 de la mañana con cuatro horas de sueño. #154
• Freelandev #365: lidiando con PHP2Shell — Esther y Nahuai, en español, sobre una semana de revisar versiones, actualizar y migrar hostings de clientes. #154