- Esta versión es una actualización de seguridad que impide que personas externas manipulen los servidores que ejecutan PHP. Según el proyecto PHP, las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos vulnerabilidades que permiten a un atacante sin autenticación ejecutar código en el servidor en determinadas condiciones.
- La primera vulnerabilidad corrompe datos internos en el momento exacto en que una solicitud alcanza el límite de uso de memoria (memory_limit). La segunda reutiliza la memoria de una solicitud anterior tras un error fatal. El artículo original indica que se demostró la ejecución remota de código con la configuración predeterminada en un entorno Apache mod_php.
- Según el artículo original, las señales del primer problema aparecieron por primera vez durante una auditoría externa en 2024, pero en ese momento no se confirmó una ruta de ataque real. Después, informes de Calif, OpenAI y Wiz revelaron el alcance del impacto, y desde agosto se convirtió en la máxima prioridad.
- El octubre 20, los identificadores de las vulnerabilidades se filtraron primero en foros y redes sociales, por lo que PHP adelantó su aviso previo y trasladó la fecha de publicación un día antes. Una empresa de seguridad publicó por error un vídeo de demostración y, según el artículo original, Chainguard distribuyó una imagen con la corrección antes de la divulgación pública.
O: Un administrador que ejecuta PHP 8.4 o 8.5 en un servidor web interno puede encontrar útil esto para comparar la lista de versiones publicadas hoy con las instalaciones existentes y decidir el orden de actualización consultando el aviso de php.net.
X: La descripción de la vulnerabilidad y la posibilidad de ataque en este artículo son afirmaciones del proyecto PHP que anunció la vulnerabilidad, por lo que la magnitud del daño debe leerse como la explicación de quien hizo el anuncio.