Una falla de gravedad media en la extensión SOAP de PHP (CVE-2026-7262) permite que un atacante haga caer el proceso con una petición SOAP manipulada, provocando una denegación de servicio. Afecta a servidores SOAP en PHP que tengan configurado un typemap. Actualiza PHP a 8.2.31, 8.3.31, 8.4.21 o 8.5.6 según la rama que uses.
Qué está pasando
El proyecto PHP publicó un aviso sobre una falla en la extensión SOAP (ext-soap), en la función to_zval_map() del archivo ext/soap/php_encoding.c, que procesa los nodos de tipo apache:Map. Al revisar si falta el elemento <value>, el código comprueba por error la variable de la clave (xmlKey) en vez de la del valor (xmlValue), y luego otra función (master_to_zval_int()) usa ese valor inexistente sin verificarlo.
El resultado es un acceso a un puntero nulo: si un atacante envía una petición SOAP con un nodo apache:Map al que le falta el <value>, el proceso de PHP se cae (segfault). Esto permite una denegación de servicio, es decir, dejar sin funcionar el servicio web afectado.
La falla solo se puede alcanzar cuando el servidor SOAP tiene configurado un typemap (opción typemap de SoapServer). El aviso incluye un ejemplo de código que reproduce la caída, por lo que el ataque es trivial en los servidores que cumplen esa condición. No se informa explotación activa.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-7262 | — | Desreferencia de puntero nulo en el decodificador apache:Map de la extensión SOAP de PHP cuando falta el nodo <value>; permite provocar la caída del proceso (denegación de servicio) si el servidor SOAP tiene un typemap configurado. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP (ext-soap) rama 8.2 | Anteriores a 8.2.31 | 8.2.31 |
| PHP (ext-soap) rama 8.3 | Anteriores a 8.3.31 | 8.3.31 |
| PHP (ext-soap) rama 8.4 | Anteriores a 8.4.21 | 8.4.21 |
| PHP (ext-soap) rama 8.5 | Anteriores a 8.5.6 | 8.5.6 |
Qué hacer ahora
- Verifica qué versión de PHP tienes instalada en cada servidor (por ejemplo con
php -v) y si la extensiónsoapestá habilitada (php -m). - Actualiza PHP a la versión corregida de tu rama: 8.2.31, 8.3.31, 8.4.21 o 8.5.6.
- Reinicia los servicios que ejecutan PHP (PHP-FPM, Apache con mod_php, etc.) para que la actualización tenga efecto.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Empieza por identificar qué aplicaciones tuyas exponen servicios web SOAP hechos en PHP, sobre todo integraciones con proveedores, ERP o sistemas de facturación, que suelen quedar olvidadas en servidores antiguos. La falla solo afecta a servidores SOAP que usan la opción typemap, así que si no usas SOAP el riesgo práctico es bajo, aunque igual conviene actualizar en la siguiente ventana de mantenimiento.
Ten en cuenta que muchas distribuciones Linux publican PHP con números de versión propios y aplican los parches por su cuenta: revisa el aviso de tu distribución o proveedor de hosting en lugar de guiarte solo por el número de versión. Si tienes un servicio SOAP expuesto a Internet con typemap, dale prioridad, ya que existe un ejemplo público que provoca la caída.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-hmxp-6pc4-f3vv
- https://www.cve.org/CVERecord?id=CVE-2026-7262