Una falla de gravedad media en el wrapper HTTP de PHP provoca una lectura de un byte fuera de memoria cuando un servidor responde con una redirección cuyo encabezado Location está vacío. Afecta a aplicaciones PHP que descargan contenido desde URLs externas con funciones como file_get_contents. Actualiza PHP a 8.2.34, 8.3.35, 8.4.26 u 8.5.11 según tu rama.
Qué está pasando
PHP permite abrir URLs como si fueran archivos mediante su wrapper HTTP, por ejemplo con file_get_contents("http://..."). Cuando está activa la opción follow_location, PHP sigue automáticamente las redirecciones que envía el servidor remoto. Si ese servidor responde con un encabezado Location vacío, el código lee un byte más allá del final del búfer de memoria donde guardó ese valor.
El valor de ese byte extra decide hacia dónde se redirige la siguiente petición: a la raíz del sitio (/) o al directorio actual (por ejemplo /a//). Un servidor malicioso, o alguien capaz de redirigir una petición de tu aplicación hacia él, puede provocar este comportamiento. Según el aviso, el byte nunca se devuelve al atacante; como máximo se puede deducir un bit (si el byte es cero o no) observando la ruta solicitada, y con el gestor de memoria de Zend el proceso no se cae.
El error se introdujo con la corrección de una vulnerabilidad anterior (CVE-2025-1861), por lo que solo existe en las versiones 8.1.32+, 8.2.28+, 8.3.18+, 8.4.5+ y en todas las 8.5. La corrección se publicó abiertamente en el repositorio de PHP, fuera del proceso de seguridad habitual, y el aviso incluye una prueba de concepto pública.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-93682 | 5.3 | Lectura fuera de límites (CWE-125) de un byte en el wrapper HTTP de PHP al seguir una redirección con encabezado Location vacío; el byte leído determina el destino de la redirección. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PHP (ext-standard) 8.1 | 8.1.32 y posteriores | — |
| PHP (ext-standard) 8.2 | Anteriores a 8.2.34 (el error existe desde 8.2.28) | 8.2.34 |
| PHP (ext-standard) 8.3 | Anteriores a 8.3.35 (el error existe desde 8.3.18) | 8.3.35 |
| PHP (ext-standard) 8.4 | Anteriores a 8.4.26 (el error existe desde 8.4.5) | 8.4.26 |
| PHP (ext-standard) 8.5 | Anteriores a 8.5.11 | 8.5.11 |
Qué hacer ahora
- Verifica qué versión de PHP tienes instalada en cada servidor (por ejemplo con
php -v). - Actualiza PHP a la versión corregida de tu rama: 8.2.34, 8.3.35, 8.4.26 u 8.5.11.
- Si usas PHP 8.1.32 o posterior, ten en cuenta que el aviso no indica una versión corregida para esa rama.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
El impacto práctico de esta falla es bajo: no permite ejecutar código ni filtrar datos relevantes, y solo afecta a aplicaciones que hacen peticiones salientes a URLs externas siguiendo redirecciones. Aun así, conviene incluirla en el próximo ciclo de actualización de PHP, sin necesidad de una ventana de emergencia. Revisa primero los servidores que consumen APIs o descargan contenido desde URLs que un tercero pueda influir, como integraciones, webhooks o importadores de feeds.
Lo que suele pasarse por alto son los servidores con PHP 8.1, una rama sin soporte activo donde el aviso no ofrece corrección: si aún tienes alguno, este es un buen momento para planificar la migración a una rama vigente. Recuerda también revisar las imágenes de contenedores y los paneles de hosting, que a menudo traen su propia versión de PHP distinta a la del sistema.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →Referencias
- https://github.com/php/php-src/security/advisories/GHSA-7875-c8px-7q5f
- https://www.cve.org/CVERecord?id=CVE-2026-93682