Una falla en la extensión OpenSSL de PHP provoca corrupción de memoria al usar openssl_encrypt con el algoritmo AES-WRAP-PAD, lo que puede terminar abruptamente la aplicación y causar denegación de servicio. Afecta a PHP en versiones anteriores a 8.2.32, 8.3.32, 8.4.23 y 8.5.8. Actualiza PHP a la versión corregida de tu rama, sobre todo si tus aplicaciones usan ese algoritmo.
Qué está pasando
La extensión ext/openssl de PHP tiene un error al calcular el tamaño del espacio de memoria donde guarda el resultado del cifrado cuando se usa el algoritmo AES-WRAP-PAD (envoltura de claves con relleno, RFC 5649) en la función openssl_encrypt. Este algoritmo agrega relleno hasta múltiplos de 8 bytes y antepone 8 bytes adicionales, pero PHP reserva memoria solo según el largo del texto original.
Como resultado, OpenSSL escribe más datos de los que caben y sobrescribe información interna del administrador de memoria de PHP (Zend MM). El problema no se nota en el momento, sino más tarde, cuando PHP detecta la corrupción y aborta con el error zend_mm_heap corrupted.
El impacto principal es que un atacante que encuentre una aplicación que use este algoritmo, poco común, podría provocar que se caiga repetidamente, generando una denegación de servicio. El aviso le asigna severidad media (CVSS 4.8) y no menciona explotación activa ni código de prueba público.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-14355 | 4.8 | Desbordamiento de memoria en openssl_encrypt al usar AES-WRAP-PAD, por cálculo incorrecto del tamaño del búfer de salida; corrompe el heap de Zend MM y puede abortar la aplicación (DoS). |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP 8.2 | < 8.2.32 | 8.2.32 |
| PHP 8.3 | < 8.3.32 | 8.3.32 |
| PHP 8.4 | < 8.4.23 | 8.4.23 |
| PHP 8.5 | < 8.5.8 | 8.5.8 |
Qué hacer ahora
- Verifica qué versión de PHP tienes instalada en cada servidor (por ejemplo, con
php -v). - Actualiza PHP a la versión corregida de tu rama: 8.2.32, 8.3.32, 8.4.23 u 8.5.8.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Antes de correr, revisa si alguna de tus aplicaciones usa realmente AES-WRAP-PAD: buscar en el código llamadas a openssl_encrypt con ese algoritmo te dirá si la urgencia es alta o si puedes incluir la actualización en tu ciclo normal de parches. Si no lo usas, el riesgo práctico es bajo, pero igual conviene actualizar.
Ten en cuenta que PHP suele estar en más lugares de los que se recuerdan: servidores web, contenedores, paneles de hosting y herramientas internas. Si usas paquetes de tu distribución Linux, confirma que el proveedor ya publicó el parche, ya que a veces lo aplican sin cambiar el número de versión principal.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-7jrw-539f-x6vr
- https://www.cve.org/CVERecord?id=CVE-2026-14355