Se ha descubierto un grupo grave de vulnerabilidades en el procesamiento de cadenas del núcleo de PHP y en los componentes de ext-soap. Este fallo es crítico ya que permite la Ejecución Remota de Código (RCE) sin necesidad de autenticación, lo que pone a numerosos servidores web en riesgo inmediato de ser tomados totalmente bajo el control de un atacante.

Se ha descubierto un grave conjunto de vulnerabilidades en el procesamiento de cadenas del núcleo de PHP y en los componentes ext-soap, lo que pone a numerosos servidores web en riesgo inmediato de una toma de control total.

Aunque la extensión SOAP tiene un historial notorio de fallos de corrupción de memoria, este último descubrimiento cruza la línea roja hacia la Ejecución Remota de Código (RCE) no autenticada.

Los equipos de seguridad de GitHub se encuentran ahora en una carrera contra el tiempo, mientras los mantenedores de PHP despliegan parches de emergencia para evitar que los atacantes conviertan servidores vulnerables en activos comprometidos.

La vulnerabilidad más crítica, rastreada como CVE-2026-6722, es un fallo de uso posterior a la liberación (use-after-free) de alta gravedad en la extensión SOAP de PHP.

Esta vulnerabilidad surge de la forma en que la extensión maneja la deduplicación de objetos dentro del grafo XML utilizando los atributos id y href.

Fallos adicionales de PHP SOAP

Al analizar un documento XML, la extensión almacena objetos PHP simples en un mapa hash global, pero falla críticamente al no incrementar su recuento de referencias.

Aprovechando el mecanismo de mapa de Apache, un atacante puede liberar intencionadamente estos objetos sobrescribiendo las entradas del mapa existentes.

Esta manipulación de la memoria permite al atacante reutilizar el segmento de memoria liberado, lo que conduce a una peligrosa corrupción de la memoria.

Como demostró el investigador de seguridad Brett Gervasoni, un atacante puede controlar ampliamente esta memoria liberada asignando posteriormente cadenas simples, escalando finalmente el fallo hacia una Ejecución Remota de Código completa.

Junto al fallo de RCE, el equipo de seguridad de PHP abordó cuatro vulnerabilidades adicionales de gravedad moderada a través de GitHub.

El desarrollador iluuu1994 encabezó los esfuerzos de remediación para todos los errores recién revelados.

El CVE-2026-7261 implica otro problema de Uso Posterior a la Liberación en SoapServer al manejar objetos persistidos en la sesión.

Si la función manejadora de un nodo de cabecera falla o lanza una excepción, el objeto se libera incorrectamente pero sigue escribiéndose en el almacenamiento de la sesión.

El CVE-2026-7262 es una vulnerabilidad de desreferencia de puntero NULL activada durante la decodificación de los nodos de Mapa de Apache.

Al enviar una solicitud XML especialmente diseñada que carezca del nodo de valor, los atacantes pueden bloquear consistentemente el proceso PHP, resultando en una Denegación de Servicio.

El CVE-2026-7258 expone una lectura fuera de límites en la función nativa urldecode().

Debido a la falta de una conversión de tipo al evaluar caracteres hexadecimales, los valores de bytes negativos pueden causar un fallo de segmentación en algunas plataformas, como NetBSD.

El CVE-2026-6104 afecta a la extensión mbstring: el análisis de nombres de codificación que contienen bytes NUL incrustados provoca un desbordamiento de búfer global.

Este error de divulgación de información puede leer más allá de los límites previstos, pero no es directamente explotable para la ejecución de código.

Estas vulnerabilidades afectan a múltiples ramas de PHP con soporte activo para los fallos relacionados con SOAP y el error de urldecode().

Las versiones afectadas incluyen las versiones de PHP anteriores a 8.2.31, 8.3.31, 8.4.21 y 8.5.6. La vulnerabilidad de mbstring impacta estrictamente a las versiones anteriores a 8.4.21 y 8.5.6.

Se recomienda encarecidamente a los administradores que actualicen sus entornos de PHP inmediatamente.

Los parches contribuidos en GitHub por iluuu1994, iliaal y ndossche ya están integrados en las versiones de PHP 8.2.31, 8.3.31, 8.4.21 y 8.5.6.

Actualizar a estas versiones parcheadas resuelve de forma segura la gestión incorrecta de la memoria y los problemas de lectura fuera de límites, defendiendo el servidor tanto contra ataques de denegación de servicio como de ejecución remota de código.

Las organizaciones que utilicen la extensión SOAP deben priorizar el despliegue de este parche para proteger adecuadamente su infraestructura crítica.