Plataforma
go
Componente
github.com/dunglas/frankenphp
Corregido en
1.11.3
1.11.2
CVE-2026-24894 describe una vulnerabilidad de fuga de datos de sesión en FrankenPHP, una herramienta de desarrollo escrita en Go. Esta vulnerabilidad permite a un atacante acceder a información sensible de la sesión entre solicitudes en modo worker. La vulnerabilidad afecta a versiones anteriores a 1.11.2 y ha sido publicada el 17 de febrero de 2026. Se recomienda actualizar a la versión 1.11.2 para mitigar el riesgo.
La fuga de datos de sesión en FrankenPHP puede tener un impacto significativo en la seguridad de las aplicaciones que utilizan esta herramienta. Un atacante que explote esta vulnerabilidad podría obtener acceso a información confidencial almacenada en la sesión del usuario, como credenciales de autenticación, tokens de acceso o datos personales. Esto podría permitir al atacante suplantar la identidad del usuario, acceder a recursos protegidos o realizar acciones no autorizadas en nombre del usuario. La naturaleza del modo worker implica que la exposición podría ser amplificada si múltiples solicitudes comparten el mismo contexto de ejecución.
La vulnerabilidad CVE-2026-24894 fue publicada el 17 de febrero de 2026. Actualmente no se conoce la existencia de exploits públicos o campañas de explotación activas. La probabilidad de explotación se considera moderada, dado que FrankenPHP es una herramienta de desarrollo menos común que otros componentes de infraestructura. No se ha añadido a la lista KEV de CISA.
Developers and security professionals using FrankenPHP for automated testing, particularly those relying on worker mode for parallel execution, are at risk. Teams using FrankenPHP to test applications handling sensitive data, such as authentication systems or financial transactions, should prioritize patching.
disclosure
Estado del Exploit
EPSS
0.04% (13% percentil)
CISA SSVC
La mitigación principal para CVE-2026-24894 es actualizar FrankenPHP a la versión 1.11.2 o posterior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la invalidación de sesiones después de un período de inactividad, la limitación del acceso a los datos de la sesión solo a los componentes necesarios y la implementación de controles de acceso estrictos. Además, se puede considerar la implementación de un Web Application Firewall (WAF) para detectar y bloquear intentos de explotación. Verifique la integridad de la instalación de FrankenPHP después de la actualización para asegurar que no haya sido comprometida.
Actualice FrankenPHP a la versión 1.11.2 o superior. Esta versión corrige la vulnerabilidad que permite la fuga de datos de sesión entre solicitudes en el modo worker. La actualización asegura que los datos de sesión se restablezcan correctamente entre las solicitudes, evitando el acceso no autorizado a la información de otros usuarios.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-24894 is a HIGH severity vulnerability in FrankenPHP where session data is leaked between requests in worker mode, potentially exposing sensitive information.
Yes, if you are using FrankenPHP versions 1.11.1 or earlier and utilizing worker mode, you are vulnerable to this session data leak.
Upgrade FrankenPHP to version 1.11.2 or later to resolve the vulnerability. If immediate upgrade is not possible, consider disabling worker mode.
Currently, there are no known public exploits or confirmed active exploitation campaigns targeting CVE-2026-24894.
Refer to the official FrankenPHP repository and release notes for details on the vulnerability and the fix: https://github.com/dunglas/frankenphp
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo go.mod y te decimos al instante si estás afectado.