Una falla en la función bccomp() de la extensión BCMath de PHP permite, con datos manipulados por un atacante, escribir fuera de los límites de memoria (stack o heap). Afecta a servidores con PHP anteriores a 8.4.24 y 8.5.9 que usen BCMath. Actualiza PHP a 8.4.24 o 8.5.9 según tu rama.
Qué está pasando
El proyecto PHP publicó un aviso de severidad alta (CVE-2026-17544) sobre la extensión BCMath, que se usa para cálculos con números de precisión arbitraria, por ejemplo en montos y operaciones financieras.
Cuando una aplicación llama a bccomp() con valores que controla un atacante, la función interna bc_str2num() puede escribir datos fuera del espacio de memoria reservado. Ocurre cuando el parámetro de escala recorta un número cuyos ceros finales luego se eliminan: el buffer se achica, pero la copia sigue usando el largo original del texto.
Como BCMath usa primero un pequeño espacio en el stack y después memoria heap, la corrupción puede darse en cualquiera de los dos. Este tipo de fallas (desbordamiento de buffer) puede provocar caídas del proceso y, en algunos escenarios, abrir la puerta a ataques más graves. El aviso no informa explotación activa ni prueba de concepto pública.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-17544 | — | Escritura fuera de límites (stack o heap) en bc_str2num() al llamar a bccomp() con operando y escala manipulados (CWE-121, CWE-787). |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP ext-bcmath (rama 8.4) | < 8.4.24 | 8.4.24 |
| PHP ext-bcmath (rama 8.5) | < 8.5.9 | 8.5.9 |
Qué hacer ahora
- Actualiza PHP a 8.4.24 (rama 8.4) o 8.5.9 (rama 8.5).
- Verifica qué versión de PHP tienes instalada (por ejemplo con
php -v) y si la extensión BCMath está habilitada (php -m).
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Parte por identificar qué servidores y aplicaciones usan PHP con BCMath activo. Es común en sistemas de facturación, comercio electrónico y ERP que manejan montos. Prioriza los sitios expuestos a Internet que reciben números desde formularios o APIs. No olvides los contenedores, los hostings compartidos ni los servidores de desarrollo, que suelen quedar con versiones antiguas.
Si usas PHP desde los repositorios de tu distribución Linux, revisa si el proveedor publicó el parche en su propio paquete, porque el número de versión puede no coincidir con el oficial. Después de actualizar, reinicia PHP-FPM o el servidor web para que se cargue la nueva versión.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-x692-q9x7-8c3f
- https://www.cve.org/CVERecord?id=CVE-2026-17544