En resumen

Una falla en PHP (CVE-2026-12184, gravedad alta) hace que el proceso PHP-FPM completo, con todos sus workers, se caiga cuando una conexión HTTPS saliente falla al validar el certificado del servidor remoto. Afecta a sitios y aplicaciones con PHP 8.3, 8.4 y 8.5 anteriores a las versiones corregidas. Actualiza a PHP 8.3.32, 8.4.21 u 8.5.6 según tu rama.

Qué está pasando

La falla está en la función interna php_stream_url_wrap_http_ex, que PHP usa cuando una aplicación abre una URL HTTP/HTTPS mediante sus stream wrappers. Si la configuración de cifrado TLS falla (en php_stream_xport_crypto_setup o php_stream_xport_crypto_enable), PHP cierra la conexión y la deja en NULL, pero luego intenta igualmente limpiar el nombre del servidor remoto sobre esa conexión inexistente.

Basta con que el servidor remoto tenga un certificado vencido o que no coincida el nombre del servidor para que se produzca el error. Según el aviso, no hace falta código especialmente diseñado: puede ocurrir en aplicaciones normales que se conectan a un servidor remoto, tal como muestra el reporte público en el repositorio de PHP (issue 21468).

El impacto es una denegación de servicio que puede provocarse de forma remota: se cae el proceso PHP-FPM completo junto con todos sus workers, dejando fuera de servicio los sitios o aplicaciones que dependen de él. El aviso no menciona explotación activa. La corrección está disponible en las versiones 8.3.32, 8.4.21 y 8.5.6.

Vulnerabilidades

CVECVSSDescripción
CVE-2026-12184—Error en php_stream_url_wrap_http_ex al fallar la configuración TLS con un servidor remoto (certificado vencido o nombre no válido) que provoca la caída de todo el proceso PHP-FPM y sus workers.

Productos afectados

ProductoVersiones afectadasVersión corregida
PHP 8.3< 8.3.328.3.32
PHP 8.4< 8.4.218.4.21
PHP 8.5< 8.5.68.5.6

Qué hacer ahora

  1. Revisa qué versión de PHP tienes instalada en cada servidor (por ejemplo con php -v o revisando la versión de PHP-FPM).
  2. Actualiza a PHP 8.3.32, 8.4.21 u 8.5.6, según la rama que uses.
  3. Reinicia el servicio PHP-FPM tras actualizar y verifica que la nueva versión quedó activa.
¿No sabes si te afecta?

Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.

Revisar si me afecta
Recomendación UpTech

Prioriza los servidores con PHP-FPM que alojan aplicaciones que se conectan a servicios externos por HTTPS: integraciones de pago, APIs de facturación electrónica, feeds o plugins de CMS que descargan contenido. Basta un certificado vencido en el otro extremo para dejar tu sitio abajo, aunque nadie te esté atacando. Ojo con los hostings compartidos y paneles con varias versiones de PHP instaladas: es común actualizar la versión por defecto y olvidar las otras que siguen en uso.

Mientras actualizas, asegúrate de que el servicio PHP-FPM tenga reinicio automático ante caídas y de recibir alertas cuando se detenga, para reducir el tiempo fuera de línea si ocurre.

Cómo te ayuda UpTech

Servicios Gestionados TI

Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.

Conocer el servicio → Servicios Gestionados TI

Con el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.

Conocer el servicio → Respaldo y Monitoreo

El monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.

Conocer el servicio →

Referencias

  1. https://github.com/php/php-src/security/advisories/GHSA-mhmq-mmqj-2v39
  2. https://www.cve.org/CVERecord?id=CVE-2026-12184
Basado en el aviso de seguridad oficial del proyecto PHP GHSA-mhmq-mmqj-2v39: Failure to setup TLS with a remote server can result in a remote DoS. Traducción, resumen y recomendaciones: UpTech, con apoyo de IA. Antes de aplicar cambios, confirma las versiones en el aviso oficial del fabricante.