Incidente relacionado · avisos de OpenSSL · enero–septiembre de 2026
Vulnerabilidades de OpenSSL de gravedad alta en 2026 y qué significan para PHP
Las extensiones openssl y curl de PHP llaman a la biblioteca OpenSSL del sistema. Actualizar PHP no actualiza OpenSSL.
Última actualización
Avisos de OpenSSL de gravedad alta en 2026
| CVE | Publicado | Problema | Corregido en |
|---|---|---|---|
| CVE-2025-15467 | 27/01/2026 | Desbordamiento de pila al analizar CMS (Auth)EnvelopedData; previo a la autenticación; DoS o posible RCE | 3.6.1, 3.5.5, 3.4.4, 3.3.6, 3.0.19 |
| CVE-2026-45447 | 09/06/2026 | Use-after-free en PKCS7_verify() con PKCS#7 / S/MIME manipulado | 4.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21 |
| CVE-2026-84782 | 29/09/2026 | Lectura fuera de límites en la retransmisión DTLS; fuga de memoria o caída | 4.0.3, 3.6.5, 3.5.9, 3.4.8 |
¿Qué OpenSSL usa mi PHP?
# Which OpenSSL is PHP linked against?
php -i | grep -i -E '^openssl|OpenSSL Library|OpenSSL Header'
openssl version
# Distribution packages often backport fixes without changing the upstream number:
apt-cache policy openssl libssl3 # Debian / Ubuntu
rpm -q openssl openssl-libs # RHEL familyCómo solucionarlo
- Actualice los paquetes de OpenSSL de la distribución (libssl3 / openssl-libs) y reinicie PHP-FPM, Apache y los workers de larga duración.
- Reconstruya las imágenes Docker sobre una imagen base actual.
- En entornos con OpenSSL propio, instale la versión actualizada del fabricante.
Preguntas frecuentes
¿Actualizar PHP corrige los fallos de OpenSSL?
Normalmente no. Los paquetes PHP de las distribuciones enlazan con la libssl del sistema, así que actualice el paquete de OpenSSL. Las compilaciones con OpenSSL propio necesitan una nueva versión del fabricante.
¿Está expuesto un sitio PHP típico?
Depende del código. CVE-2025-15467 y CVE-2026-45447 afectan al análisis de mensajes CMS o PKCS#7 como S/MIME, que PHP ofrece mediante funciones como openssl_cms_decrypt() y openssl_pkcs7_verify(). No hemos visto un vector de ataque público específico de PHP; actualice la biblioteca de todos modos.
Mi distribución muestra un número de OpenSSL antiguo. ¿Soy vulnerable?
No necesariamente. Debian, Ubuntu y RHEL aplican correcciones sin cambiar el número original; consulte el seguimiento de seguridad de su distribución.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- OpenSSL Security Advisory, 27 January 2026 (CVE-2025-15467) — OpenSSL
- OpenSSL Security Advisory, 9 June 2026 (CVE-2026-45447) — OpenSSL
- OpenSSL Security Advisory, 29 September 2026 (CVE-2026-84782) — OpenSSL
- Vulnerabilities list — OpenSSL
- OpenSSL runtime configuration (openssl.cafile, openssl.capath) — PHP manual