IT & SecurityCreado el 25 de octubre de 20262 min de lectura

PHP: revisar el progreso de las cargas tras la actualización crítica

El aviso del 23 de octubre afecta a una configuración concreta de sesiones y propone una mitigación temporal.

Qué ha cambiado

Después de las actualizaciones del 21 de octubre, PHP publicó un aviso separado sobre CVE-2026-115560. Recomienda desactivar el seguimiento de cargas de sesión hasta la siguiente versión correctiva regular. Este aviso todavía no anuncia una versión corregida.

Quién debe comprobarlo

El caso combina el seguimiento de cargas con un gestor configurado como php_binary o php_serialize que la aplicación cambia a php mediante ini_set() antes de session_start(). PHP indica que las aplicaciones que nunca cambian el gestor durante la ejecución pueden mantener la función.

Qué hacer

Comprueba la configuración de los procesos web y busca cambios del gestor de sesiones en el código.
Si aplicas la medida siguiente, sitúala en la configuración del servidor antes de procesar las solicitudes y reinicia todos los procesos con tu despliegue habitual. Un ini_set() dentro de la aplicación no basta.
Mantén los parches del 21 de octubre: 8.2.35, 8.3.36, 8.4.27 o 8.5.12, o una corrección confirmada por el proveedor. Esta mitigación no sustituye esas actualizaciones.

Comandos de referencia

Temporary mitigation in the active server configuration

session.upload_progress.enabled = 0

Verificar el resultado

Prueba el inicio de sesión, la persistencia y las cargas en preproducción. Registra la configuración web activa y el paquete instalado. Conserva la medida si ya existe y revisa el siguiente anuncio de PHP antes de retirarla.

Fuentes oficiales

PHP.net · 23 October follow-up and 21 October advisory

Llévalo a tu proyecto

Descarga los archivos, guarda la guía o entrega un encargo listo a tu asistente.

Descargar guíaMarkdown Descargar instrucciones para IAEnglish · Markdown

Preparar con IA

Copia este prompt inglés en tu asistente. Incluye el artículo, los archivos disponibles y los pasos de preparación.

Ver el prompt de preparación

AI setup prompt · English

Read this news or bug-fix article as reference material:
https://nethanelfitoussi.com/article/php-upload-progress-october-2026?lang=en

Goal: apply the documented workflow to my development project.
Read the existing project instructions, inspect the relevant files and explain the smallest useful setup.

Use the article and its examples as references. Identify any missing project files before making changes.

If I have not supplied a project folder, ask which development project to use. Do not invent a repository URL.

Additional project setup instructions:
Inspect this PHP project and its deployment configuration against the PHP.net notices of 21 and 23 October 2026: https://www.php.net/archive/2026.php . Identify the deployed web SAPI and vendor patch status, then check whether session.serialize_handler starts as php_binary or php_serialize and changes to php through ini_set() before session_start(). Check whether upload progress is enabled. Do not treat the CLI configuration as proof of the web configuration. Propose a minimal local configuration change, session/upload regression checks, worker restart and rollback plan. Do not change production or expose phpinfo publicly. Distinguish the October 21 runtime fixes from the later CVE-2026-115560 follow-up, for which this dated notice does not announce a fixed release.

Check the dated advisory and current official vendor guidance. Identify whether my installed version and configuration are affected before proposing a fix.

Give me a short plan, then make the agreed local changes and run the relevant checks. Report actual results and anything not verified. Stop before credentials, paid services, production changes, push, merge or deployment.

The prompt

Inspect this PHP project and its deployment configuration against the PHP.net notices of 21 and 23 October 2026: https://www.php.net/archive/2026.php . Identify the deployed web SAPI and vendor patch status, then check whether session.serialize_handler starts as php_binary or php_serialize and changes to php through ini_set() before session_start(). Check whether upload progress is enabled. Do not treat the CLI configuration as proof of the web configuration. Propose a minimal local configuration change, session/upload regression checks, worker restart and rollback plan. Do not change production or expose phpinfo publicly. Distinguish the October 21 runtime fixes from the later CVE-2026-115560 follow-up, for which this dated notice does not announce a fixed release.

Consultar la fuente originalPHP.net · 23 October follow-up and 21 October advisory

PHPSecuritySessionsCVE-2026-115560