Una falla en la extensión phar de PHP permite que un archivo tar manipulado con enlaces simbólicos circulares bote el proceso PHP por desbordamiento de pila. Afecta a PHP 8.2, 8.3, 8.4 y 8.5 en versiones anteriores a las corregidas, sobre todo si tus aplicaciones abren archivos tar o phar entregados por terceros. Actualiza PHP a 8.2.33, 8.3.33, 8.4.24 o 8.5.9 según tu rama.
Qué está pasando
La función phar_get_link_source(), en el archivo ext/phar/util.c de PHP, sigue los enlaces simbólicos dentro de un archivo phar de forma recursiva, sin límite de profundidad ni detección de ciclos.
Si alguien prepara un archivo phar basado en tar con dos enlaces que apuntan uno al otro (por ejemplo, file_a apunta a file_b y file_b a file_a), PHP entra en una recursión sin fin, agota la pila y el proceso se cae con un error de segmentación. El impacto es la disponibilidad: no hay filtración ni modificación de datos.
El aviso clasifica la falla como de severidad media (CVSS 5.5). El vector es local y requiere que un usuario o una aplicación abra el archivo manipulado, por ejemplo con PharData. El propio aviso incluye un ejemplo funcional para reproducirla.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-7260 | 5.5 | Recursión no controlada en phar_get_link_source() al seguir symlinks circulares en un archivo phar basado en tar, lo que agota la pila y bota el proceso PHP (CWE-400, CWE-674). |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP (ext-phar), rama 8.2 | < 8.2.33 | 8.2.33 |
| PHP (ext-phar), rama 8.3 | < 8.3.33 | 8.3.33 |
| PHP (ext-phar), rama 8.4 | < 8.4.24 | 8.4.24 |
| PHP (ext-phar), rama 8.5 | < 8.5.9 | 8.5.9 |
Qué hacer ahora
- Verifica qué versión de PHP tienes instalada en cada servidor (por ejemplo, con
php -v). - Actualiza PHP a la versión corregida de tu rama: 8.2.33, 8.3.33, 8.4.24 o 8.5.9.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Prioriza los servidores donde alguna aplicación abre archivos tar o phar que no controlas tú: cargas de usuarios, importadores de respaldos, gestores de plugins o procesos que descomprimen paquetes. Ahí es donde un archivo manipulado puede llegar a PHP. Si usas paquetes de tu distribución Linux, revisa el aviso del mantenedor, porque a veces aplican el parche sin cambiar el número de versión visible.
Un punto que suele pasarse por alto: un mismo servidor puede tener varias versiones de PHP en paralelo, por ejemplo distintos pools de php-fpm, la versión de línea de comandos y la de los paneles de hosting. Actualízalas todas, no solo la que muestra php -v. Mientras aplicas la actualización, conviene vigilar si aparecen reinicios o errores de segmentación inesperados en los procesos PHP.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-vc5h-9ppw-p5f3
- https://www.cve.org/CVERecord?id=CVE-2026-7260