Retrospectiva del 2026-07-31, elaborada el 27 de octubre de 2026. La fecha corresponde a la jornada analizada; abajo figuran las fechas de publicación y revisión de las fuentes.
Qué cambia este aviso en su entorno
El punto de partida es CERTFR-2026-AVI-0952, publicado el 2026-07-31. Su alcance incluye PHP. Las consecuencias indicadas son inyección SQL, impacto pendiente de aclaración por el proveedor, denegación de servicio. Corresponden al alcance del aviso; no se atribuyen todas ellas a cada producto o CVE.
El caso se concentra en PHP. Localice esa edición en instalaciones activas, imágenes y dependencias reales, sin considerar equivalentes todos los productos de PHP.
Productos y versiones que revisar
- Referencia
- CERTFR-2026-AVI-0952
- Primera publicación de la fuente
- 2026-07-31
- Última revisión disponible para esta jornada
- 2026-07-31
- Componentes citados
- PHP
- Identificadores CVE
- CVE-2026-7260, CVE-2026-17543, CVE-2026-17544, CVE-2026-9672
| Componente | Condición publicada |
|---|---|
| PHP | 8.3.x : < 8.3.33 |
| PHP | 8.5.x : < 8.5.9 |
| PHP | 8.4.x : < 8.4.24 |
| PHP | 8.2.x : < 8.2.33 |
Para PHP, la condición publicada es «8.3.x : < 8.3.33». Compare la versión realmente cargada con esa condición dentro de su propia rama. Corregir otra edición de PHP no permite cerrar este caso.
Mecanismo y requisitos
La inyección SQL mezcla datos e instrucciones. Compruebe consultas parametrizadas, privilegios de la cuenta de base de datos y registros; no necesita una carga destructiva para confirmar exposición.
La ficha primaria CVE-2026-7260, publicada por php, abarca PHP. La revisión retenida es del 2026-07-30. Su alcance se distingue de las integraciones y agrupaciones del aviso CERTFR-2026-AVI-0952.
La métrica publicada para CVE-2026-7260 es CVSS 4.0, 5.4/10. El vector describe requisitos técnicos; no mide frecuencia de ataques ni probabilidad de compromiso de su instalación.
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:U
- Vector de ataque
- local
- Privilegios previos
- ninguno
- Interacción del usuario
- activa
- Complejidad
- bajo
- Requisitos adicionales del ataque
- ninguno
- Debilidad
- CWE-121
Elegir la intervención adecuada
- Localice instancias de PHP, versiones activas y responsables. Registre la condición 8.3.x : < 8.3.33 junto con CERTFR-2026-AVI-0952.
- Compare la rama instalada con las notas del proveedor de PHP. Prepare el paquete de esa rama y una prueba del servicio dependiente, conservando el estado anterior.
- Después de modificar PHP, capture de nuevo la versión cargada y compruebe el recorrido indicado. Cada excepción necesita responsable, reducción de exposición y caducidad.
Verificar la corrección en un flujo real
Escenario de validación para adaptar a PHP: Para PHP, registre la versión cargada por el proceso o núcleo activo y reinicie según las instrucciones de mantenimiento. Compruebe un flujo dependiente y busque copias integradas en imágenes o ejecutables distribuidos. Es una propuesta defensiva, no una afirmación de pruebas realizadas sobre sistemas de terceros.
Límite de CERTFR-2026-AVI-0952: este análisis no sustituye los requisitos del proveedor ni la investigación de sus registros. Solo se reproducen versiones documentadas; no se inventan fechas de ataques ni víctimas.
Preguntas específicas del caso
¿Qué condición debe comprobarse para PHP?
CERTFR-2026-AVI-0952 indica: PHP — 8.3.x : < 8.3.33. Compruebe edición y versión activa; no extienda el límite a ramas ausentes del aviso.
¿Qué requisitos especifica la ficha CVE-2026-7260?
Para CVE-2026-7260, el vector publicado es CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:U. Verifique esas condiciones en PHP antes de aplicarlas a una integración mencionada en CERTFR-2026-AVI-0952.
Fuentes y lecturas relacionadas
- CERT-FR · CERTFR-2026-AVI-0952
- Proveedor y correcciones · www.php.net
- Proveedor y correcciones · www.php.net
- Proveedor y correcciones · www.php.net
- Proveedor y correcciones · www.php.net
- CVE-2026-7260 · CNA
Guía práctica : Priorizar vulnerabilidades y verificar su remediación
Profundizar en la decisión de este caso
- Data Services Management Console: proteger las consultas de datos
- activestorage: contener la ejecución de código
Inventario completo del aviso original
La tabla del artículo puede ser un extracto. Estas listas contienen todas las entradas de sistemas afectados y CVE de la revisión indicada. No inventarían sus activos ni asignan cada CVE a cada producto.
Fuente oficial · CERTFR-2026-AVI-0952
Revisión del aviso : · Verificado el :
Sistemas afectados · 4
Se conserva el texto original francés para evitar traducciones ambiguas de las condiciones de versión.
- PHP versions 8.3.x antérieures à 8.3.33
- PHP versions 8.5.x antérieures à 8.5.9
- PHP versions 8.4.x antérieures à 8.4.24
- PHP versions 8.2.x antérieures à 8.2.33