☝🏻В PHP нашли ещё одну дыру для удалённого выполнения кода, и патча пока нет

Разработчики PHP предупредили о новой RCE-уязвимости CVE-2026-115560. Исправление выйдет только с очередным плановым релизом.🤷🏼‍♀️

Предупреждение вышло через два дня после экстренных патчей для PHP2Shell, из-за которой падали правительственные сервисы Великобритании.

Новый баг срабатывает только при редком совпадении трёх условий:
🔻 в конфиге задан обработчик сессий php_binary или php_serialize;
🔻 приложение во время работы переключает его на php через ini_set() до session_start();
🔻 включено отслеживание прогресса загрузки файлов, а по умолчанию оно включено.

☝🏻Пока неизвестно, какие версии PHP затронуты, насколько опасной признают уязвимость и в каком релизе её закроют.🤔

Сами разработчики считают такую конфигурацию маловероятной, поэтому и не стали выпускать срочное обновление.

☝🏻Временная защита: прописать session.upload_progress.enabled=0 в php.ini или в конфиге FPM-пула. Если вы уже сделали это из-за PHP2Shell, больше ничего делать не нужно.🛡

☝🏻☝🏻Это уже вторая RCE в PHP за неделю. «Маловероятный» вектор остаётся вектором, а отключить одну настройку быстрее, чем ждать планового релиза.
================
🔺 News | 🧩 Soft | 💻 Hacker