Resumen ejecutivo
La CVE-2026-59989 es una vulnerabilidad crítica en Phalcon, un framework PHP de alto rendimiento. Con una puntuación CVSS de 9.2, permite a un atacante inyectar código PHP en el servidor mediante la manipulación de la plantilla Volt. La actualización a la versión 5.16.0 corrige el fallo.
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-59989 |
| Fabricante | PHP Group |
| Producto | PHP (Phalcon) |
| Fecha de publicación | 2026-08-21 |
| Severidad | CRÍTICA |
| CVSS | 9.2 |
| Puntuación de prioridad | 205 |
| Acción recomendada | Actualizar a Phalcon 5.16.0 |
Qué es la vulnerabilidad
La CVE-2026-59989 es una vulnerabilidad de inyección de código que afecta a Phalcon, un framework PHP de alto rendimiento. El fallo se encuentra en la función resolveFilter del archivo phalcon/Mvc/View/Engine/Volt/Compiler.zep. Al construir el filtro de unión (join), se insertan los valores sin pasar por la función expression(), lo que permite a un atacante que pueda influir en la plantilla Volt inyectar código PHP en el archivo de caché compilado. Cuando se renderiza la plantilla, el código malicioso se ejecuta.
Productos y versiones vulnerables
Según las fuentes consultadas, las versiones afectadas son:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| Phalcon (cphalcon) | < 5.16.0 | 5.16.0 |
Impacto y riesgo
La vulnerabilidad tiene una severidad crítica con una puntuación CVSS de 9.2. Si es explotada, un atacante podría ejecutar código arbitrario en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad del sistema. El vector CVSS es CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que indica que el ataque puede realizarse de forma remota sin necesidad de autenticación, aunque requiere cierta complejidad en el ataque.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes consultadas. La selección de esta CVE se basa en su reciente publicación y su alta puntuación CVSS, no en evidencia de explotación en entornos reales.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) en las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación es vulnerable, verifica la versión de Phalcon en tu aplicación. Si es anterior a la 5.16.0, estás afectado. Puedes revisar la versión mediante el administrador de dependencias de PHP (Composer) o consultando el panel de administración de tu aplicación. También se recomienda revisar el aviso oficial del fabricante en los enlaces de la sección de fuentes.
Mitigación y actualización
La única mitigación conocida es actualizar a la versión 5.16.0 de Phalcon, que corrige la vulnerabilidad. Se recomienda aplicar la actualización lo antes posible. Si no es posible actualizar de inmediato, se debe limitar el acceso a las plantillas Volt y revisar la confianza de las fuentes que pueden modificar las plantillas.
Checklist para administradores
- ☐ Identificar si se utiliza Phalcon en el entorno.
- ☐ Verificar la versión instalada de Phalcon.
- ☐ Si la versión es < 5.16.0, planificar una actualización inmediata.
- ☐ Revisar los logs de acceso y de aplicación en busca de actividad sospechosa.
- ☐ Monitorear los avisos de seguridad oficiales.
Preguntas frecuentes
¿Qué es Phalcon?
Phalcon es un framework de PHP de alto rendimiento, conocido por su velocidad y bajo consumo de recursos.
¿Estoy afectado si uso PHP pero no Phalcon?
No, la vulnerabilidad afecta específicamente a Phalcon. Si no usas Phalcon, no estás afectado.
¿Existe algún parche disponible?
Sí, la versión 5.16.0 de Phalcon corrige la vulnerabilidad.
¿Puedo mitigar el riesgo sin actualizar?
No se ha publicado ninguna mitigación alternativa. Se recomienda actualizar lo antes posible.
¿La vulnerabilidad se está explotando activamente?
No hay evidencia de explotación activa en las fuentes consultadas.
¿Dónde puedo encontrar más información?
En los enlaces de la sección de fuentes oficiales.