Una falla en PHP hace que, al seguir una redirección, file_get_contents(), fopen() y otras funciones que usan el wrapper http:// reenvíen los encabezados Authorization, Cookie y Proxy-Authorization a otro servidor. Afecta a aplicaciones PHP que llaman a APIs o servicios externos con credenciales. Actualiza PHP a 8.2.34, 8.3.35, 8.4.26 o 8.5.11, según tu rama.
Qué está pasando
Cuando una aplicación PHP hace una petición saliente con el stream wrapper http:// (por ejemplo, con file_get_contents() o fopen()) y agrega encabezados con credenciales mediante stream_context_create(), PHP sigue las redirecciones automáticamente. El problema es que, al hacerlo, reenvía sin cambios los encabezados Authorization, Cookie y Proxy-Authorization, aunque el destino de la redirección sea otro host, otro puerto o un paso de HTTPS a HTTP.
En la práctica, si el servicio al que llama tu aplicación responde con una redirección hacia un tercero, ya sea porque un atacante controla ese destino o porque el servicio legítimo redirige a otro dominio, ese tercero recibe el token bearer, la cookie de sesión o las credenciales de proxy de tu aplicación. Si la redirección baja de HTTPS a HTTP, además esas credenciales viajan en texto claro por la red.
Están afectadas las aplicaciones que usan estas funciones con encabezados de credenciales y dejan follow_location en su valor por defecto. El boletín incluye un ejemplo de código que demuestra la fuga. La corrección hace que PHP compare el origen (esquema, host y puerto) de cada salto y elimine los tres encabezados de credenciales cuando cambia, también en todos los saltos posteriores, igual que hace libcurl desde la versión 7.58.0.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-91766 | 5.9 | El stream wrapper http:// de PHP reenvía los encabezados Authorization, Cookie y Proxy-Authorization al seguir redirecciones hacia otro origen o de HTTPS a HTTP, lo que expone las credenciales a terceros (CWE-200, CWE-522). |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP (ext-standard) rama 8.2 | < 8.2.34 | 8.2.34 |
| PHP (ext-standard) rama 8.3 | < 8.3.35 | 8.3.35 |
| PHP (ext-standard) rama 8.4 | < 8.4.26 | 8.4.26 |
| PHP (ext-standard) rama 8.5 | < 8.5.11 | 8.5.11 |
Qué hacer ahora
- Verifica qué versión de PHP tienes instalada en cada servidor, por ejemplo con
php -v, sin olvidar las distintas versiones que puede usar PHP-FPM. - Actualiza PHP a la versión corregida de tu rama: 8.2.34, 8.3.35, 8.4.26 u 8.5.11.
- Reinicia PHP-FPM o el servidor web después de actualizar y confirma que la nueva versión está activa.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Parte por identificar qué aplicaciones hacen llamadas salientes con credenciales: integraciones con APIs de pago, ERP, facturación electrónica, CRM o servicios en la nube que usan file_get_contents() o fopen() con encabezados Authorization o Cookie. Esas son las que de verdad están expuestas. Un sitio que solo atiende visitas no queda comprometido por esta falla, aunque igual conviene actualizarlo. Lo que suele pasarse por alto son los servidores con varias versiones de PHP instaladas y los scripts antiguos o tareas cron que nadie recuerda.
La gravedad es media porque el ataque requiere que alguien controle o influya en una redirección, así que puedes incluirla en tu ciclo normal de parches, sin esperar meses. Si una de tus integraciones llama a servicios de terceros que podrían redirigir a otros dominios, considera rotar esos tokens después de actualizar. Como buena práctica, revisa si esas llamadas realmente necesitan seguir redirecciones.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-fpwc-w8rq-cr92
- https://www.cve.org/CVERecord?id=CVE-2026-91766