🚨 ¿Sigues con PHP 5.6, 7.0 o 7.1 del repo de Ondřej y actualizaste el miércoles? Vuelve a actualizar YA: el paquete de anoche trae fixes adicionales para subidas multipart. apt update && apt upgrade Y de paso… plantéate migrar a PHP 8.x de una vez 😬

🚨 Vulnerabilidades críticas en PHP: qué está pasando y qué hacer Hoy, 21 de octubre a las 16:00 (hora peninsular), PHP publica una actualización urgente que corrige dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619, CVSS 9,2). 🔎 Qué sabemos Son fallos de ejecución remota de código: permitirían tomar el control del servidor sin credenciales. La información se filtró ayer, así que se esperan ataques masivos en cuanto salgan los detalles. Aún no se conocen las versiones afectadas. Hay que dar por vulnerable cualquier web con PHP (WordPress, WooCommerce, Prestashop…). ⏳ Qué esperamos Solo recibirán parche las ramas con soporte (PHP 8.2 en adelante). Las versiones antiguas (7.x, 8.0, 8.1) no tendrán parche oficial. Si tu web va con una de ellas, es momento de migrar. ✅ Qué hemos hecho nosotros En todos los servidores que operamos, propios y de clientes, ya hemos aplicado una mitigación preventiva: desactivar el progreso de subida de ficheros de PHP, bloqueado para que ningún dominio pueda reactivarlo. El único efecto es que puede dejar de verse la barra de progreso al subir archivos. Es una medida no oficial, pero consideramos que compensa con creces. En cuanto salgan las versiones corregidas, actualizaremos. 🛠 Si administras tu propio servidor Crea php.d/99-no-upload-progress.ini con: session.upload_progress.enabled = Off Y en el pool de PHP-FPM, para que ningún dominio lo reactive: php_admin_flag[session.upload_progress.enabled] = off Reinicia PHP-FPM y actualiza PHP en cuanto esté disponible. Seguiremos informando...