Una falla en la extensión OpenSSL de PHP (CVE-2026-91767, severidad media) permite que un servidor TLS malicioso haga caer el proceso PHP que se conecta a él como cliente, provocando una denegación de servicio. Afecta a aplicaciones PHP que hacen conexiones salientes por https:// o tls:// con la configuración por defecto. Actualiza PHP a 8.2.34, 8.3.35, 8.4.26 u 8.5.11 según tu rama.
Qué está pasando
La función php_openssl_matches_wildcard_name() del archivo ext/openssl/xp_ssl.c se encarga de comprobar si el nombre de un certificado TLS con comodín (por ejemplo *.dominio.cl) coincide con el servidor al que PHP se está conectando. Por un error en el cálculo de longitudes, cuando la parte fija del nombre comodín es más larga que el nombre de host verificado, el valor da la vuelta y la función termina leyendo memoria mucho más allá de lo permitido.
En la práctica, un servidor que presente un certificado manipulado puede hacer que el proceso PHP que actúa como cliente lea memoria fuera de sus límites hasta encontrar un punto o hasta chocar con memoria no asignada, lo que hace caer el proceso. El boletín aclara que el contenido leído no se devuelve al atacante: el resultado solo influye en aceptar o rechazar la conexión, por lo que el impacto principal es la denegación de servicio.
El problema está en el lado cliente: afecta cualquier conexión saliente que use la opción por defecto verify_peer_name, incluidas file_get_contents(), fopen() y stream_socket_client() sobre https:// y tls://. Para explotarlo, el atacante debe poder presentar el certificado manipulado, ya sea controlando el servidor de destino o contando con un certificado firmado por una CA en la que el cliente confía. El boletín incluye una prueba de concepto pública.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-91767 | 6.5 (CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) | Desbordamiento de búfer en heap (CWE-122) en php_openssl_matches_wildcard_name() al validar un certificado TLS con nombre comodín más largo que el host; un servidor malicioso puede provocar una lectura fuera de límites que bota el proceso PHP cliente. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP ext-openssl (rama 8.2) | < 8.2.34 | 8.2.34 |
| PHP ext-openssl (rama 8.3) | < 8.3.35 | 8.3.35 |
| PHP ext-openssl (rama 8.4) | < 8.4.26 | 8.4.26 |
| PHP ext-openssl (rama 8.5) | < 8.5.11 | 8.5.11 |
Qué hacer ahora
- Revisa qué versión de PHP tienes instalada en cada servidor (por ejemplo con
php -v) y confirma que la extensión OpenSSL está activa (php -m). - Actualiza PHP a la versión corregida de tu rama: 8.2.34, 8.3.35, 8.4.26 u 8.5.11.
- Reinicia los servicios que usan PHP (PHP-FPM, Apache con mod_php, workers CLI) para que tomen la nueva versión y verifica nuevamente la versión en ejecución.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Aunque la severidad es media y el ataque requiere que tu aplicación se conecte a un servidor controlado por el atacante, conviene incluir esta actualización en el próximo ciclo de parches. Prioriza los sistemas PHP que hacen conexiones salientes a destinos que no controlas: integraciones con APIs de terceros, webhooks, descargas de URLs ingresadas por usuarios o procesos que consultan servicios externos. Ahí es donde un destino malicioso tiene más posibilidades de aparecer.
Lo que suele pasarse por alto son las instalaciones de PHP fuera del servidor web principal: tareas programadas, contenedores con imágenes antiguas, servidores de desarrollo y paneles de hosting con varias versiones de PHP en paralelo. Revisa todas las versiones instaladas, no solo la que atiende el sitio. Y no desactives verify_peer_name como atajo: eso eliminaría la validación de certificados y te dejaría expuesto a ataques mucho más graves.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-xr7j-rvgx-xq5p
- https://www.cve.org/CVERecord?id=CVE-2026-91767