PHP corrigió dos fallos críticos que podían permitir a los atacantes ejecutar código de forma remota y, el 23 de octubre, reveló un tercer riesgo, de alcance más limitado, por lo que recomendó a las aplicaciones afectadas desactivar el seguimiento del progreso de carga de sesiones hasta que se publique una corrección programada.
Los dos fallos corregidos, CVE-2026-109618 y CVE-2026-109619, podían permitir a los atacantes ejecutar código en sistemas PHP que gestionan solicitudes web sin necesidad de iniciar sesión. El proyecto calificó ambos fallos como críticos. El 21 de octubre se publicaron correcciones en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
PHP instó a los usuarios a actualizar y recomendó a quienes usen versiones anteriores que consulten si sus proveedores de software han publicado correcciones. El problema recién revelado, CVE-2026-115560, está relacionado con el seguimiento del progreso de carga de sesiones y se considera poco probable, ya que requiere una combinación inusual de ajustes de la aplicación y de su comportamiento mientras se ejecuta. En concreto, la aplicación debe usar un formato no predeterminado para los datos de sesión y cambiar a otro formato durante la ejecución, antes de iniciar una sesión.
También debe dejar activado el seguimiento del progreso de carga. PHP recomienda establecer `session.upload_progress.enabled=0`. Quienes ya hayan aplicado ese ajuste para reducir el riesgo de los fallos anteriores no necesitan hacer nada más.
El proyecto afirma que abordará el tercer problema según su calendario habitual de publicaciones, en lugar de emitir una corrección de emergencia. Tiene previsto publicar un aviso de seguridad completo con la próxima versión.