Actualización de seguridad: SmartClass ha aplicado las correcciones de seguridad de PHP de octubre de 2026

Actualización de seguridad de octubre de 2026

Proteger la información que las instituciones educativas, las familias y los estudiantes confían a SmartClass es nuestra primera responsabilidad. Este anuncio explica un problema de seguridad que el proyecto PHP dio a conocer el 21 de octubre de 2026, qué significa para SmartClass y qué hemos hecho exactamente al respecto.

En resumen

• El proyecto PHP publicó un aviso de seguridad sobre dos vulnerabilidades críticas en PHP y ese mismo día publicó versiones corregidas.
• Todos los servidores de SmartClass que ejecutan PHP utilizan ahora PHP 8.3.36, la versión oficial que corrige ambas vulnerabilidades.
• También añadimos los ajustes de protección que recomienda el aviso y los mantenemos como una capa adicional de protección.
• No necesita instalar nada, cambiar ningún ajuste ni actualizar la aplicación móvil de SmartClass.

¿Qué ocurrió?

PHP es un lenguaje de programación muy extendido con el que funciona una gran parte de los sitios web del mundo. SmartClass lo utiliza en sus servidores para la aplicación web, su interfaz de programación (API) y servicios en segundo plano, como las notificaciones y las tareas programadas.

Las dos vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, se encuentran en el propio PHP y no en el código de SmartClass, y afectan a instalaciones de PHP en todo el mundo. En determinadas condiciones, una solicitud especialmente diseñada enviada a un servidor afectado podría permitir que un atacante ejecutara su propio código en ese servidor sin iniciar sesión. El proyecto PHP las calificó como críticas y las corrigió en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Qué hicimos

1. Añadimos los ajustes de protección recomendados

El mismo día del aviso, incorporamos a la configuración de nuestros servidores los cambios que recomienda el proyecto PHP:

• Desactivamos el seguimiento del progreso de carga de sesión (session upload progress). SmartClass no utiliza esta función de PHP, y el aviso la señala como una vía hacia una de las vulnerabilidades. El ajuste forma parte de la configuración principal de PHP, por lo que se aplica antes de procesar cualquier solicitud.
• Redujimos el tamaño máximo de un único archivo que aceptan los servidores de 20 MB a 16 MB, para que quede por debajo del límite total de tamaño de la solicitud, tal como recomienda el aviso.

2. Actualizamos todos los servidores a la versión corregida de PHP

A continuación, actualizamos todos los servidores de SmartClass que ejecutan PHP a PHP 8.3.36, la versión corregida de la rama de PHP que utiliza SmartClass. Esto abarca todas las partes del servicio que ejecutan PHP:

• los servidores que ejecutan la aplicación web de SmartClass y su API;
• las páginas clásicas de SmartClass, que funcionan en los mismos servidores actualizados;
• los servicios en segundo plano que envían notificaciones y mensajes y ejecutan las tareas programadas.

La configuración con la que construimos nuestros servidores indica la versión exacta, 8.3.36, en lugar de una etiqueta genérica como «la última 8.3». Todos los servidores que construyamos a partir de ahora reciben la versión corregida, y no es posible instalar por error una versión anterior.

3. Pruebas con la misma versión

Nuestras comprobaciones automáticas de las actualizaciones de la API de SmartClass se ejecutan con la misma versión PHP 8.3.36, de modo que la versión que utilizan nuestros clientes es la misma que probamos.

4. Retiramos una versión anterior de PHP

También retiramos el entorno PHP 7.4 que nuestro equipo utilizaba internamente para las páginas clásicas. Para los clientes, estas páginas ya funcionaban en los servidores actualizados; con este cambio, nuestros entornos de desarrollo y de pruebas también utilizan la misma versión corregida.

¿Qué significa esto para usted?

SmartClass es un servicio alojado, por lo que la actualización se realizó en nuestros servidores y ya está en vigor para todas las instituciones. No necesita:

• instalar nada en su equipo;
• actualizar la aplicación móvil de SmartClass, que no ejecuta PHP en su teléfono ni en su tableta;
• cambiar ningún ajuste de SmartClass.

SmartClass funciona como antes. La única diferencia que podría notar es el nuevo límite de 16 MB para un único archivo cargado, que solo se aplica en los pocos lugares que antes aceptaban archivos más grandes.

Nuestro compromiso permanente

Seguimos los avisos de seguridad del software del que depende SmartClass y aplicamos las correcciones con prontitud. El 23 de octubre de 2026, el proyecto PHP publicó una nota complementaria en la que recomienda mantener desactivado el seguimiento del progreso de carga de sesión hasta su próxima versión ordinaria. Ese ajuste ya formaba parte de los cambios descritos anteriormente, por lo que no fue necesario ningún cambio adicional.

El aviso original del proyecto PHP está disponible, en inglés, en el archivo de noticias de PHP.

Si tiene alguna pregunta sobre esta actualización o nota algo inusual en su cuenta, comuníquese con su institución o con el soporte de SmartClass.