Una falla en PHP-FPM hace que la lista listen.allowed_clients compare solo los primeros 96 bits de las direcciones IPv6. Un atacante en la red con una dirección del mismo prefijo /96 que un cliente permitido puede llegar al endpoint FastCGI y ejecutar scripts PHP. Afecta a quienes usan FastCGI sobre IPv6 TCP. Actualiza a 8.2.34, 8.3.35, 8.4.26 o 8.5.11.
Qué está pasando
PHP-FPM permite restringir qué direcciones pueden conectarse a su puerto FastCGI mediante la directiva listen.allowed_clients. En la rama IPv6, la función fcgi_is_allowed() de main/fastcgi.c compara solo los primeros 12 bytes de los 16 que tiene una dirección IPv6. En la práctica, cada dirección permitida se convierte sin aviso en una red /96 completa.
Un atacante con alcance de red que pueda usar una dirección que comparta los primeros 96 bits con un cliente permitido pasa el control y llega al endpoint FastCGI. En muchas instalaciones eso significa poder ejecutar scripts PHP en el contexto del worker de FPM. El aviso incluye una prueba de concepto contra un php-fpm real.
Solo están expuestas las instalaciones que usan FastCGI sobre IPv6 TCP y confían en listen.allowed_clients como frontera de seguridad. Las que usan sockets Unix, solo IPv4 o un firewall externo como control real no están afectadas. El vector requiere acceso a la red adyacente (AV:A), lo que limita el alcance.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-91768 | 6.5 | Bypass de la ACL listen.allowed_clients en PHP-FPM sobre IPv6: la comparación se hace sobre 12 de los 16 bytes de la dirección y permite el acceso a cualquier dirección del mismo prefijo /96 que un cliente autorizado. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP-FPM | < 8.2.34 | 8.2.34 |
| PHP-FPM | < 8.3.35 | 8.3.35 |
| PHP-FPM | < 8.4.26 | 8.4.26 |
| PHP-FPM | < 8.5.11 | 8.5.11 |
Qué hacer ahora
- Identifica qué servidores ejecutan PHP-FPM y revisa la versión instalada (por ejemplo, con
php-fpm -v). - Actualiza PHP-FPM a 8.2.34, 8.3.35, 8.4.26 u 8.5.11, según tu rama.
- Reinicia el servicio PHP-FPM y verifica que la nueva versión quedó activa.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Antes de alarmarte, revisa la configuración de tus pools: si listen apunta a un socket Unix o a una dirección IPv4, esta falla no te afecta. El caso de riesgo es un pool escuchando en una dirección IPv6 TCP y protegido solo con listen.allowed_clients, algo más común en arquitecturas con el servidor web y PHP-FPM en máquinas separadas o en contenedores.
Aunque actualices, conviene no depender de listen.allowed_clients como única barrera. El puerto FastCGI nunca debería ser alcanzable desde redes no confiables. Limítalo con reglas de firewall al host del servidor web y revisa que las reglas IPv6 estén al mismo nivel que las IPv4, un punto que suele quedar olvidado.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Redes e InfraestructuraImplementamos y administramos firewalls de próxima generación con IPS/IDS, VPN con autenticación multifactor y segmentación por VLAN, para limitar quién puede llegar a los equipos expuestos.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-62xp-839h-2637
- https://www.cve.org/CVERecord?id=CVE-2026-91768