Una falla en la extensión SOAP de PHP (CVE-2025-14181) permite que un servidor SOAP malicioso, o un atacante intermedio en una conexión sin cifrar, provoque un desbordamiento de memoria en aplicaciones que usan SoapClient, desde una caída hasta corrupción de memoria. Afecta a PHP anteriores a 8.2.34, 8.3.35, 8.4.26 y 8.5.11. Actualiza a la versión corregida de tu rama y, mientras tanto, limita memory_limit.
Qué está pasando
La extensión ext-soap de PHP tiene un error en la función get_http_body() del archivo ext/soap/php_http.c, que arma la respuesta cuando un servidor SOAP la envía por partes (Transfer-Encoding: chunked). El control que debía evitar que el tamaño del búfer se desbordara depende de un comportamiento indefinido del lenguaje C, y compiladores como Clang 20.1.7 y GCC 15.1.1 pueden eliminarlo al optimizar el código.
Si ese control desaparece, un servidor SOAP malicioso puede declarar fragmentos enormes (por ejemplo, de tamaño 0x7fffffff) y hacer que PHP reserve un espacio de memoria mucho más pequeño que los datos que luego escribe en él. El resultado es un desbordamiento de búfer en el heap.
Lo importante es que la falla afecta al lado cliente: a tus aplicaciones PHP que usan SoapClient para conectarse a servicios externos. El atacante tiene que controlar el servidor SOAP o interceptar una conexión SOAP sin cifrar. Las consecuencias van desde la caída del proceso hasta la corrupción de memoria, según cómo se compiló PHP.
La explotación tiene condiciones exigentes: solo ocurre en compilaciones donde el compilador eliminó el control y requiere que el cliente acepte una respuesta de varios gigabytes. El aviso incluye una prueba de regresión que reproduce el problema contra un servidor local.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2025-14181 | 6.5 | Desbordamiento de entero que deriva en desbordamiento de búfer en el heap dentro del cliente HTTP de SOAP (get_http_body()), explotable por un servidor SOAP malicioso o un atacante intermedio en una conexión sin cifrar. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP (ext-soap) rama 8.2 | < 8.2.34 | 8.2.34 |
| PHP (ext-soap) rama 8.3 | < 8.3.35 | 8.3.35 |
| PHP (ext-soap) rama 8.4 | < 8.4.26 | 8.4.26 |
| PHP (ext-soap) rama 8.5 | < 8.5.11 | 8.5.11 |
Qué hacer ahora
- Verifica qué versión de PHP tienes instalada en cada servidor (por ejemplo, con
php -v) y si la extensiónsoapestá habilitada (php -m). - Actualiza PHP a la versión corregida de tu rama: 8.2.34, 8.3.35, 8.4.26 u 8.5.11.
- Reinicia PHP-FPM o el servidor web tras la actualización y confirma que la nueva versión quedó activa.
Si no puedes actualizar de inmediato
Medidas temporales: reducen la exposición, pero no reemplazan la actualización.
- Configura un
memory_limitbajo en PHP: así se produce un error de falta de memoria antes de llegar al desbordamiento, ya que este requiere un búfer de varios gigabytes.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Antes de alarmarte, identifica qué aplicaciones usan realmente SoapClient: suele ser el caso de integraciones con sistemas de facturación, ERP, bancos o servicios de terceros más antiguos. Si la extensión soap está instalada pero nada la usa, considera deshabilitarla; y si la usas, prioriza los servidores que se conectan a servicios SOAP externos o por HTTP sin cifrar.
Aprovecha para revisar que tus integraciones SOAP usen HTTPS con validación de certificados, porque eso reduce el riesgo de un atacante intermedio. Y revisa el memory_limit: muchos servidores lo tienen en -1 o en valores muy altos por comodidad, lo que elimina una barrera útil frente a este y otros problemas.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-cj93-vc83-wgqv
- https://www.cve.org/CVERecord?id=CVE-2025-14181