Una vulnerabilidad de severidad alta (CVE-2026-91765, CVSS 7.5) en la extensión SOAP de PHP permite que un atacante sin autenticación haga caer cualquier aplicación que exponga un endpoint SoapServer enviando una petición con miles de elementos XML anidados. Afecta a PHP en las ramas 8.2, 8.3, 8.4 y 8.5. Actualiza PHP a 8.2.34, 8.3.35, 8.4.26 u 8.5.11 según la rama que uses.
Qué está pasando
La extensión SOAP de PHP (ext-soap) procesa los documentos XML que recibe un servidor SOAP con una función llamada cleanup_xml_node(), que recorre cada nivel de anidación del XML sin ningún límite de profundidad. Si un atacante envía un mensaje con decenas de miles de etiquetas anidadas, el proceso agota su memoria de pila y se cae.
El ataque no requiere autenticación, WSDL ni configuración especial: basta una sola petición HTTP POST a cualquier endpoint que use SoapServer::handle(). Además, el mensaje es pequeño en la red, porque 50.000 etiquetas anidadas se comprimen a unos pocos kilobytes. El boletín incluye una prueba de concepto pública que provoca el fallo.
El mismo problema de recursión sin límite existe en el decodificador de valores SOAP (master_to_zval_int()), que sigue referencias href y puede quedar atrapado en ciclos, y en la búsqueda de nodos en documentos WSDL (get_node_with_attribute_recursive_ex()).
El impacto es una denegación de servicio: bajo PHP-FPM, cada petición mata al worker que la atiende, y una serie de peticiones agota el pool y deja el servicio fuera de línea. Según el boletín, la falla no permite tomar control del servidor. La corrección agrega límites de profundidad (SOAP_MAX_XML_DEPTH, 2048) y rechaza los documentos que los superan.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-91765 | 7.5 | Recursión sin límite en cleanup_xml_node(), en el decodificador de valores SOAP y en la búsqueda WSDL de ext-soap, que permite a un atacante sin autenticación caer el proceso PHP con un XML profundamente anidado (denegación de servicio). |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP ext-soap (rama 8.2) | < 8.2.34 | 8.2.34 |
| PHP ext-soap (rama 8.3) | < 8.3.35 | 8.3.35 |
| PHP ext-soap (rama 8.4) | < 8.4.26 | 8.4.26 |
| PHP ext-soap (rama 8.5) | < 8.5.11 | 8.5.11 |
Qué hacer ahora
- Identifica qué servidores ejecutan PHP con la extensión SOAP habilitada y qué versión tienen (por ejemplo, con
php -vyphp -m). - Actualiza PHP a 8.2.34, 8.3.35, 8.4.26 u 8.5.11, según la rama que uses.
- Reinicia PHP-FPM o el servidor web tras actualizar y verifica que la versión en ejecución sea la corregida.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Empieza por las aplicaciones que exponen servicios SOAP a Internet: integraciones con ERP, facturación, pasarelas con terceros o servicios heredados que a veces nadie recuerda que siguen publicados. Ten en cuenta que la extensión SOAP suele venir habilitada en muchas instalaciones aunque la aplicación no la use; si no la necesitas, deshabilitarla reduce la superficie de ataque.
Como la prueba de concepto es pública y el ataque es trivial, no lo dejes para la próxima ventana de mantenimiento si tienes endpoints SOAP expuestos. Revisa también los paquetes PHP de tu distribución o panel de hosting, ya que las versiones corregidas pueden llegar con otro número de paquete, y vigila reinicios inusuales de workers de PHP-FPM como señal de intentos de explotación.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-rgrp-mwpx-f6rm
- https://www.cve.org/CVERecord?id=CVE-2026-91765