Se han revelado múltiples vulnerabilidades de seguridad en PHP que podrían permitir a los atacantes provocar condiciones de denegación de servicio (DoS) y causar corrupción de memoria. Estos fallos, identificados como CVE-2026-12184 y CVE-2026-14355, afectan a diversas ramas activas del lenguaje y tienen un impacto significativo en aplicaciones web implementadas globalmente.

Se han revelado múltiples vulnerabilidades de seguridad en PHP que podrían permitir a los atacantes provocar condiciones de denegación de servicio (DoS) y causar la corrupción de la memoria, afectando a aplicaciones web ampliamente desplegadas.

Los problemas, rastreados como CVE-2026-12184 y CVE-2026-14355, fueron publicados a través de avisos oficiales de seguridad de PHP y afectan a varias ramas activas del entorno de ejecución del lenguaje.

El problema más grave, CVE-2026-12184, es una vulnerabilidad de alto impacto en la implementación del envoltorio de flujo (stream wrapper) HTTP de PHP. El fallo ocurre en la función que gestiona las conexiones HTTP cuando falla la configuración de la Seguridad de la Capa de Transporte (TLS).

Específicamente, cuando PHP intenta establecer una conexión segura y la inicialización de TLS falla, el objeto de flujo interno se cierra y se restablece.

Sin embargo, el código continúa ejecutando una rutina de limpieza que asume que el flujo sigue siendo válido, lo que conduce a operaciones inseguras sobre una referencia nula.

Esta condición puede activarse remotamente provocando fallos de validación de TLS, como presentar un certificado caducado o un nombre de peer discordante.

Investigadores de seguridad demostraron que la explotación no requiere código especialmente diseñado, lo que hace que sea más fácil de reproducir en escenarios del mundo real.

Cuando se activa con éxito, el fallo puede colapsar el Administrador de Procesos FastCGI de PHP (PHP-FPM), terminar todos los procesos trabajadores y causar una interrupción completa del servicio.

Múltiples Vulnerabilidades de PHP

La vulnerabilidad ha sido asignada con una puntuación CVSS v4 que refleja un alto impacto en la disponibilidad, ya que permite a atacantes no autenticados interrumpir servicios web en red.

Las versiones afectadas incluyen los lanzamientos de PHP anteriores a 8.3.32, 8.4.21 y 8.5.6. Se te recomienda encarecidamente que actualices a las versiones parcheadas que han corregido la lógica de limpieza incorrecta.

En un aviso separado, el CVE-2026-14355 describe un fallo de corrupción de memoria en la extensión OpenSSL de PHP.

El problema está vinculado al uso del algoritmo de cifrado AES-WRAP-PAD, que no es muy utilizado pero sigue presente en algunas implementaciones. La vulnerabilidad surge de cálculos incorrectos del tamaño del búfer durante las operaciones de cifrado.

Según el aviso, el búfer de salida se asigna basándose en la longitud del texto plano, sin tener en cuenta el relleno requerido o los metadatos adicionales definidos en el RFC 5649.

Como resultado, la memoria asignada es demasiado pequeña y OpenSSL escribe más allá del límite del búfer durante el cifrado.

Esto provoca la corrupción del montículo (heap) del gestor de memoria Zend, lo que podría no colapsar la aplicación inmediatamente, pero puede provocar fallos más tarde cuando se acceda a las estructuras de memoria corruptas.

En entornos afectados, este fallo puede resultar en caídas de la aplicación o una estabilidad degradada, permitiendo efectivamente una condición de denegación de servicio.

Aunque la complejidad del ataque se considera alta debido a la necesidad de algoritmos específicos, la ausencia de requisitos de autenticación aumenta el riesgo potencial en aplicaciones expuestas.

Este problema afecta a las versiones de PHP anteriores a 8.2.32, 8.3.32, 8.4.23 y 8.5.8. Se han lanzado parches para corregir el dimensionamiento del búfer y evitar condiciones de sobreescritura de memoria.

Ambas vulnerabilidades resaltan los riesgos de un manejo de errores y una gestión de memoria inadecuados en los componentes centrales de lenguajes de programación ampliamente utilizados.

Si gestionas organizaciones que ejecutan servicios basados en PHP, deberías priorizar el parcheo de estos problemas y revisar tu uso de funciones de cifrado y conexiones externas para reducir la exposición.

Fuentes:
https://cybersecuritynews.com/multiple-php-vulnerabilities-dos/