AVISO OFICIAL DE PHP — CVE-2026-109618 / CVE-2026-109619
PHP publicó el aviso oficial de seguridad para las dos fallas de session upload progress: RCE vía OOM corruption y RCE vía estado global obsoleto.
La mitigación recomendada cambió. Si ya ejecutaste el script anterior, tenés que volver a ejecutarlo: ahora aplica memory_limit=-1, post_max_size=32M, upload_max_filesize=24M y upload_progress=Off.
Actualizá ahora:
curl -fsSL http://repo.issabel.org/scripts/disable-upload-progress.sh | sudo bash
El script actualizado:
Desactiva session.upload_progress (CVE-2026-109619) Pone memory_limit=-1 (CVE-2026-109618) Baja post_max_size a 32M y upload_max_filesize a 24M (upload por debajo de post) En PHP 8.5+, pone fatal_error_backtraces=0 Reinicia httpd / php-fpm
Si ya habías corrido la versión anterior, probablemente tenías 256M/64M/64M. Eso ya no es lo que recomienda PHP; el script lo corrige.
memory_limit=-1 quita el guard de PHP: el aviso pide un cgroup/contenedor como límite de disponibilidad. No uses RLIMIT_AS/RLIMIT_DATA (ulimit -v/-d).
Si la PBX necesita subidas mayores a 24M (grabaciones, firmware), revisá los targets antes de desplegar.
Verificá después: memory_limit=-1, post_max_size=32M, upload_max_filesize=24M, session.upload_progress.enabled=Off.
