20 respuestas en este tema

[muser83]

Hola buenas noches,

Esta tarde se han dado a la luz un par de vulnerabilidades del lenguaje PHP que afectan a todas las versiones superiores a la 5.4.

Es importante actualizarlo lo antes posible a una versión con el parche aplicado.

Si no se puede hacer rápido vale la pena suspender el servicio temporalmente, porque ya se han visto ataques y pueden entrar hasta la cocina.

[JoelFaura]

Sea como sea, hay que hacer una actualización de la versión de PHP, simplemente por seguridad. Sea o no sea vulnerable este sitio web.

 

Gracias por avisar, esto al fin y al cabo nos podría afectar a todos.

[Storm]

Gracias por el aviso.   

 

Info que he ido recopilando:

https://www.php.net/...hp#2026-10-21-5

 

PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.

Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. We consider the risk highest for mod_php, with a demonstrated exploit where an unauthenticated request can trigger the attack before any application code runs.

The vulnerabilities:

-RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): out-of-memory handling can interrupt PHP while internal request data is only partially initialized. Request cleanup may then treat the invalid data as valid.

-RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): request-owned internal state can survive after its backing memory has been freed. A later request handled by the same worker may use that stale state before normal initialization resets it.

 

https://www.wiz.io/b...p2shell-php-rce

 

CVE-2026-109618:

https://www.cve.org/...CVE-2026-109618

CVE-2026-109619:

https://www.cve.org/...CVE-2026-109619

 

https://unit42.paloa...ve-2026-109619/

 

https://php2shell.trendaisecurity.com/

 

[muser83]

Si está en php5 se debería actualizar urgentemente. Avisad a quien se encargue del hosting. Al menos se debería actualizar a la versión 8.2.35, pero ojo porque cambiar así sin más va a romper el foro.

[Arik]

Hola buenas noches,

Esta tarde se han dado a la luz un par de vulnerabilidades del lenguaje PHP que afectan a todas las versiones superiores a la 5.4.

Es importante actualizarlo lo antes posible a una versión con el parche aplicado.

Si no se puede hacer rápido vale la pena suspender el servicio temporalmente, porque ya se han visto ataques y pueden entrar hasta la cocina.

Tengo un pequeño blog con Wordpress, que funciona con PHP. Cómo suspendo el servicio? con activar el Modo Mantenimiento sería suficiente?

Gracias.

[JoelFaura]

Tengo un pequeño blog con Wordpress, que funciona con PHP. Cómo suspendo el servicio? con activar el Modo Mantenimiento sería suficiente?

Gracias.

 

Antes de suspender el servicio, prueba de subir la versión de PHP a una superior a la 8.1. Será lo mejor que puedes hacer.

 

Activar el modo mantenimiento no es suficiente, el problema sigue estando.

[Arik]

Antes de suspender el servicio, prueba de subir la versión de PHP a una superior a la 8.1. Será lo mejor que puedes hacer.

Activar el modo mantenimiento no es suficiente, el problema sigue estando.

Muchas gracias, este mediodía cuando vaya a comer miro que versión tengo.

[Yayo]

Ya está Indi con ello.

 

[muser83]

La 8.1 del canal oficial ya no recibe actualizaciones de seguridad.

Antes de suspender el servicio, prueba de subir la versión de PHP a una superior a la 8.1. Será lo mejor que puedes hacer.

Activar el modo mantenimiento no es suficiente, el problema sigue estando.

[antrax]

Ya está Indi con ello.

Pues menos mal porque si es por spamers, puedo llegar a banear cerca de 50/70 cuentas al mes, si alguien mejor que un bobo que quiere meter un enlace, quiere hacer algo peor, estamos jodidos.

[indiana]

Que no cunda el pánico.
De momento pondremos cloudflare en medio y vamos viendo.

 

Saludos a todos!!

[Storm]

Ya está Indi con ello.

 

Pues menos mal porque si es por spamers, puedo llegar a banear cerca de 50/70 cuentas al mes, si alguien mejor que un bobo que quiere meter un enlace, quiere hacer algo peor, estamos jodidos.

 

Que no cunda el pánico.
De momento pondremos cloudflare en medio y vamos viendo.

 

Saludos a todos!!

 

Gracias a todos.   

[indiana]

Holaa

 

Se han revisado las 77 vulnerabilidades conocidas de la versión PHP que usamos, muy pocas comparadas con otros lanzamientos, y ya estaban corregidas.

La versión de Invision ya tenía medidas que se implementaron en su momento y se ha comprobado que funcionan correctamente.
Se han corregido errores de encriptación de comunicaciones y de SSL en cookies

Se ha configurado Cloudflare como servicio de proxy inverso, CDN y DNS, es decir hemos puesto la web detrás de Cloudflare.
Si veis algo raro no dejéis de comentar.

 

Cambiar a los últimos lanzamientos de PHP no implica necesariamente estar más seguros. Además obligaría a cambiar de sistema de foros. Si no queremos perder nada; o más bien casi nada, tendríamos que ir a Invision Community 5 y son 150$ al mes.

Negociando con ellos podemos conseguir 6 meses por 150$, es un detalle ya que llevamos con ellos 21 años, aunque la última renovación fue en 2020.[Purchased 01/22/2005 - Expires 10/01/2020]

Todos esos  importes que hay que añadir al servidor dedicado, renovaciones de nombres de dominio, etc.

Podríamos monetizar la web pero me resisto a meter anuncios a troche y moche, ya no se pagan como antes.

 

Creo que de momento después de más de 21 años sin graves incidentes lo dejamos como está. Está todo parcheado y a salvo hasta nuevas amenazas.

 

Gracias a todos por estar ahí.

 

Saludos.

[Galuppin]

Gracias Indi 

[JuJo84]

Muchas gracias por revisarlo todo Indi
Eres un fenómeno

Editado por JuJo84, 25 octubre 2026 - 11:40:07.

[indiana]

Gracias a todos vosotros 

[Yayo]

[muser83]

Excelente Indi!!

Tengo una curiosidad... ¿como se mantiene el club?

¿Es apoyado de manera altruísta o hay una empresa detrás?

Holaa

Se han revisado las 77 vulnerabilidades conocidas de la versión PHP que usamos, muy pocas comparadas con otros lanzamientos, y ya estaban corregidas.
La versión de Invision ya tenía medidas que se implementaron en su momento y se ha comprobado que funcionan correctamente.
Se han corregido errores de encriptación de comunicaciones y de SSL en cookies
Se ha configurado Cloudflare como servicio de proxy inverso, CDN y DNS, es decir hemos puesto la web detrás de Cloudflare.
Si veis algo raro no dejéis de comentar.

Cambiar a los últimos lanzamientos de PHP no implica necesariamente estar más seguros. Además obligaría a cambiar de sistema de foros. Si no queremos perder nada; o más bien casi nada, tendríamos que ir a Invision Community 5 y son 150$ al mes.
Negociando con ellos podemos conseguir 6 meses por 150$, es un detalle ya que llevamos con ellos 21 años, aunque la última renovación fue en 2020.[Purchased 01/22/2005 - Expires 10/01/2020]
Todos esos importes que hay que añadir al servidor dedicado, renovaciones de nombres de dominio, etc.
Podríamos monetizar la web pero me resisto a meter anuncios a troche y moche, ya no se pagan como antes.

Creo que de momento después de más de 21 años sin graves incidentes lo dejamos como está. Está todo parcheado y a salvo hasta nuevas amenazas.

Gracias a todos por estar ahí.

Saludos.

[indiana]

Desde el inicio altruista 100% y las cuotas de los socios.

Se monetizó con anuncios una temporada. Un auténtico coñazo para los usuarios.

[muser83]

Pues estoy interesado en colaborar aunque sea monetariamente como socio. Toda la parte de hacerse socio desde la web es funcional?